La misurazione delle competenze è il processo di valutazione se la formazione migliori davvero le conoscenze o le prestazioni. Nella sicurezza informatica, è importante perché la formazione che verifica solo la presenza o i punteggi dei quiz può non ridurre il rischio reale. Un programma è utile solo se le persone possono applicare ciò che hanno appreso sotto pressione, ad esempio individuando il phishing, gestendo file sospetti o seguendo correttamente le procedure di incidente.
I difensori usano la misurazione delle competenze nelle campagne di sensibilizzazione, nelle esercitazioni di sicurezza, nei laboratori e nelle simulazioni di phishing per vedere se il comportamento cambia nel tempo. Le misurazioni efficaci si concentrano sulle prestazioni osservabili, sui compiti ripetibili e su criteri di successo chiari, non solo sul coinvolgimento o sul completamento. Gli aggressori possono trarre vantaggio quando le organizzazioni scambiano una formazione ben rifinita per una reale prontezza: una misurazione debole può nascondere lacune nel giudizio, nella سرعت?