Chỉ số an ninh thông tin (information security metrics) là một biện pháp có thể theo dõi và đánh giá điều kiện của một quy trình an ninh thông tin xác định. Chỉ số (metric) định nghĩa một hệ thống đo lường dựa trên các quy trình có thể định lượng.
Chỉ số tốt là những chỉ số thanh lịch (elegant), tức là cụ thể, có thể định lượng, đạt được, có thể lặp lại, và phụ thuộc vào thời gian. Kích thước (Dimensions) cung cấp cái nhìn đơn điểm trong thời gian của các yếu tố cụ thể, rời rạc, trong khi chỉ số (metrics) được dẫn xuất bằng cách phân tích so với một đường cơ sở (baseline) đã sắp xếp trước nhiều kích thước được lấy theo thời gian. Kích thước được tạo ra bằng cách đếm và chỉ số được tạo ra từ phân tích.
Thay thế, kích thước là thông tin thô khách quan và chỉ số là sự diễn giải khách quan hoặc chủ quan của con người về những dữ liệu đó. Phương pháp đo lường được sử dụng phải có thể tái tạo, và nên đạt được cùng kết quả khi thực hiện riêng biệt bởi các đánh giá viên có năng lực khác nhau.
Chỉ số Phần mềm (Software Metrics) là công cụ được thiết kế để hỗ trợ ra quyết định và khôi phục hiệu năng và trách nhiệm giải trình trong việc thiết lập, phân tích, và tài liệu hóa dữ liệu liên quan đến hiệu suất.
Điểm của việc đo lường hiệu suất là để xem xét trạng thái của các hoạt động được xem xét và tạo điều kiện cải thiện trong những hoạt động đó bằng cách sử dụng hành động khắc phục, dựa trên các kích thước quan sát được. Trong khi một trường hợp có thể được tạo ra cho việc sử dụng một số thuật ngữ cho các mục toàn diện và tổng hợp hơn, như 'chỉ số' (metrics) và 'biện pháp' (measures), tài liệu này truy cập các phương pháp này có thể thay thế cho nhau.
Đo lường cung cấp cái nhìn đơn điểm trong thời gian của các yếu tố cụ thể, rời rạc, trong khi chỉ số được thay đổi bằng cách so sánh với một đường cơ sở cố định hai hoặc nhiều kích thước được lấy theo thời gian. Đo lường được sản xuất bằng cách đếm; chỉ số được tạo ra từ phân tích. Thay thế, đo lường là thông tin thô khách quan và chỉ số là sự diễn giải khách quan hoặc thiên lệch của con người về những dữ liệu đó.
Đối với an ninh hệ thống thông tin, các quy trình liên quan đến các yếu tố của hệ thống đóng góp vào an ninh của nó. Đó là, chỉ số bảo mật cho phép áp dụng một phương pháp đo lường cho nhiều thực thể của một hệ thống sở hữu thuộc tính bảo mật có thể định lượng để đạt được một giá trị được đo lường.
Một chỉ số tạo ra kết quả được tích lũy trong một cơ sở dữ liệu chỉ số được định nghĩa, có thể sử dụng qua các giao diện SQL và JDBC tiêu chuẩn để hỗ trợ các chức năng sau:
- Quản trị rủi ro (Risk Management): Chỉ số tính xác suất đe dọa, dễ bị tổn thương, độ bao phủ biện pháp đối phó và giá trị tài sản cho ra kết quả có thể dùng để mô hình hóa rủi ro.
- Quản trị ngân sách (Budget Management): Chỉ số quyết định mức độ nỗ lực, tác động, và có sẵn có thể được chuyển thành chi phí đô la cho mục đích lập ngân sách và tính toán lợi nhuận đầu tư.
- Kiểm toán & Đánh giá tuân thủ (Audit & Compliance Assessment - Nội bộ hoặc Ngoại bộ): Chỉ số tính tuân thủ chính sách cho cá nhân hoặc nhóm định nghĩa cho ra kết quả có thể cải thiện báo cáo được tạo bởi công cụ tuân thủ.
- Hoạt động bảo mật (Security Operations): Chỉ số thu thập dữ liệu theo thời gian có thể được dùng để xác định xu hướng gợi ý các hành động cụ thể được thực hiện bởi nhân viên chức năng trung tâm dữ liệu.