L'efficacia è quanto bene un controllo o una tecnica di sicurezza funziona in condizioni operative reali, non solo in un laboratorio di prova. Nella sicurezza informatica, uno strumento può sembrare forte sulla carta ma comunque fallire contro reti rumorose, il comportamento degli utenti o l'adattamento attivo dell'attaccante. Misurare l'efficacia aiuta a rispondere alla domanda pratica: questo controllo riduce davvero il rischio?
Questo è importante per difese come MFA, EDR, filtri anti-phishing e impostazioni di crittografia. Un controllo con alta efficacia blocca o rileva gli attacchi in modo costante, mentre una bassa efficacia lascia lacune che gli attaccanti possono sfruttare tramite password spraying, ingegneria sociale o tecniche di elusione. I team di sicurezza misurano l'efficacia con tassi di rilevamento, falsi negativi, simulazioni di attacco e test red-team, quindi confrontano i risultati con un riferimento noto. L'obiettivo non è la novità; è una performance affidabile nelle condizioni in cui gli attacchi avvengono davvero.