L'analisi di coorte è la pratica di raggruppare utenti, dispositivi o eventi che condividono un punto di partenza o un comportamento comune e poi confrontare come questi gruppi cambiano nel tempo. Nella sicurezza informatica, una coorte potrebbe essere costituita da account creati nella stessa settimana, endpoint patchati nello stesso giorno o utenti esposti alla stessa formazione di phishing.
Questo metodo è importante perché le medie possono nascondere i rischi. I team di sicurezza usano l'analisi di coorte per capire se un controllo ha davvero funzionato: una coorte di patch ha avuto meno infezioni, un nuovo rollout di MFA ha ridotto le compromissioni degli account oppure la formazione ha abbassato i tassi di clic per un gruppo di utenti? Anche gli attaccanti possono usare una segmentazione simile per colpire persone con tratti o modelli di esposizione condivisi. Monitorando i risultati nel tempo, l'analisi di coorte aiuta a distinguere il rumore di breve periodo dai reali miglioramenti difensivi o dall'impatto di un attacco.