Chỉ số (metric) định nghĩa một hệ thống đo lường dựa trên các quy trình có thể định lượng. Các chỉ số hữu ích chỉ ra mức độ mà mục tiêu bảo vệ, như bảo mật dữ liệu, đang được đáp ứng, và chúng thúc đẩy các biện pháp được thực hiện để tìm ra chương trình bảo mật tổng thể của tổ chức. Quyền riêng tư có thể được giải thích là thực hiện kiểm soát đối với quyền truy cập của người khác vào các mức độ riêng tư của chúng ta, như quyền riêng tư thông tin.
Chỉ số có thể là thiết bị hiệu quả cho các nhà quản trị bảo mật để nhận diện hiệu quả của các thành phần chương trình bảo vệ của họ, bảo mật của một hệ thống, sản phẩm hoặc quy trình cụ thể, và năng lực của nhân viên hoặc bộ phận trong tổ chức để giải quyết các lĩnh vực bảo mật mà họ chịu trách nhiệm.
Chỉ số cũng có thể giúp xác định mức độ rủi ro khi không thực hiện một hành động cho trước, và theo cách đó cung cấp hướng dẫn trong ưu tiên các hành động khắc phục. Hơn nữa, chúng có thể được dùng để tăng mức độ cảnh giác bảo mật bên trong tổ chức.
Các khía cạnh của đo lường bảo mật
- Độ chính xác và Hiệu quả (Correctness and Effectiveness): Độ chính xác nghĩa là sự bảo đảm rằng các phương pháp thi hành bảo mật đã được thực hiện đúng (tức là chúng làm chính xác những gì chúng được đề xuất làm, như thực hiện một số phép tính). Hiệu quả nghĩa là sự bảo đảm rằng các phương pháp thi hành bảo mật của hệ thống đáp ứng các mục tiêu bảo mật đã tuyên bố (tức là chúng không làm bất cứ điều gì khác ngoài những gì được đề xuất cho chúng làm, trong khi đáp ứng kỳ vọng về sự linh hoạt).
- Chỉ báo dẫn dắt so với Chỉ báo trễ (Leading versus Lagging Indicators): Chỉ báo dẫn dắt và chỉ báo trễ tái tạo tình huống bảo mật tồn tại tương ứng trước hoặc sau một thay đổi trong bảo mật. Chỉ số bảo mật trễ với quy trình độ trễ ngắn hoặc lag time ngắn được ưu tiên hơn cái có quy trình độ trễ dài. Một số chỉ số bảo mật có thể được coi là chỉ báo trễ.
- Mục tiêu bảo mật tổ chức (Organizational Security Objectives): Tổ chức tồn tại vì nhiều lý do, nắm giữ nhiều tài sản, có tiếp xúc khác nhau với công chúng, đối mặt mối đe dọa khác nhau, và có dung nạp rủi ro khác nhau. Do những khác biệt này, mục tiêu bảo mật của họ có thể khác nhau đáng kể. Chỉ số bảo mật thường được dùng để xác định tổ chức đáp ứng mục tiêu bảo mật của mình tốt đến đâu.
- Thuộc tính Định lượng và Định tính (Qualitative and Quantitative Properties): Các gán định tính có thể được tạo để biểu diễn các quy trình định lượng của thuộc tính bảo mật (ví dụ: thấp nghĩa là không tìm thấy lỗ hổng; trung bình, từ một đến năm tìm thấy; và cao, nhiều hơn năm tìm thấy). Các giá trị định lượng của nhiều thuộc tính bảo mật cũng có thể được 加权 và chia sẻ để thay đổi một giá trị phức hợp.
- Đo lường Lớn so với Nhỏ (Measurements of the Large Versus the Small): Các phép đo bảo mật đã chứng minh thành công hơn nhiều khi trọng tâm đo lường là nhỏ và đơn giản thay vì lớn và phức tạp. Khi số thành phần trong hệ thống mở rộng, số lượng tương tác khả dĩ tăng lên theo bình phương số thành phần.