La retention per coorte è un metodo di misurazione che raggruppa gli utenti in base a un evento di inizio condiviso e verifica se continuano a tornare nel tempo. In pratica, l'evento iniziale può essere il primo accesso, la prima revisione di un avviso, la prima adesione a una policy o il primo utilizzo di uno strumento di sicurezza. Invece di chiedere solo quante persone hanno provato qualcosa una volta, la retention chiede quante continuano a usarlo dopo giorni o settimane.
Nel cyber security, questo aspetto è importante perché molti controlli falliscono in modo silenzioso dopo il lancio. Una piattaforma di formazione sul phishing, un rollout di MFA, una dashboard SIEM o una console EDR possono mostrare una forte adozione iniziale ma un debole utilizzo ripetuto. La retention per coorte mette in evidenza questo calo e aiuta i difensori a distinguere un rollout riuscito da un clic isolato. Per gli attaccanti, una bassa retention può anche essere un segnale che gli utenti non si fidano di uno strumento, non lo capiscono o lo trovano troppo difficile da usare. I team di sicurezza usano le curve di retention per individuare problemi di onboarding, attriti nei flussi di lavoro e strumenti che non sono mai diventati parte delle operazioni quotidiane.