現在使用されているサイバーセキュリティ指標のほとんどは、組織がコントロールできない要素の遅行指標です (「先週受けた攻撃回数」など)。それよりも、サイバーセキュリティ・プログラムの信頼性と防御力を証明する、具体的な成果に関連した指標を重視すべきです。
2024年までに、サイバーセキュリティ侵害の発生後に規制当局が課す罰金額の80%は、侵害の影響ではなく、注意義務を果たしたことを証明できないことに起因すると、ガートナーは予測しています。
ガートナーでは、成果指向の評価指標 (ODM) から、以下の「CARE」モデルを提唱しています。