Le metriche di impatto sul business sono misurazioni che traducono l'attività tecnica in risultati che l'organizzazione considera importanti, come ricavi protetti, tempi di inattività evitati, costi ridotti, frodi prevenute o esperienza del cliente migliorata. Nella sicurezza informatica, aiutano i team ad andare oltre conteggi come avvisi chiusi o vulnerabilità corrette e a mostrare cosa significano quelle azioni in termini operativi e finanziari.
Queste metriche sono importanti perché i programmi di sicurezza competono per budget e attenzione. Una misura di difesa contro il ransomware, per esempio, può essere valutata in base al costo dell'interruzione che aiuta a evitare. Un programma di formazione sul phishing può essere giudicato in base a un minor numero di furti di credenziali, meno reimpostazioni dell'help desk o minori perdite da compromissione degli account. Negli attacchi, i difensori usano le metriche di impatto sul business per dare priorità agli incidenti che minacciano prima i servizi critici. In difesa, supportano anche il reporting esecutivo, le decisioni sul rischio e la governance collegando il lavoro tecnico a un valore aziendale misurabile, invece che alla sola attività.