As métricas de segurança são estabelecidas a partir de análises quantitativas realizadas sobre dados relacionados à segurança da informação coletados em diversos departamentos da organização. Para mensurar por quanto tempo as ameaças à segurança estão passando despercebidas por sua organização, deve ser utilizada a métrica: