La misurazione delle perdite è la pratica di stimare l'impatto finanziario diretto e indiretto di un incidente informatico. Le perdite dirette possono includere pagamenti di riscatto, risposta all'incidente, ripristino dei sistemi, frodi, spese legali e costi normativi. Le perdite indirette sono più difficili da vedere ma spesso maggiori: tempi di inattività, vendite mancate, abbandono dei clienti, premi assicurativi più alti e danni alla fiducia.
Nella sicurezza informatica, la misurazione delle perdite è importante perché trasforma un attacco da evento tecnico a rischio aziendale che può essere confrontato, prioritizzato e finanziato. I team di sicurezza la usano per giustificare i controlli, scegliere tra difese concorrenti e stimare il valore di misure di resilienza come backup, segmentazione e rilevamento. Anche gli attaccanti influenzano la misurazione delle perdite creando incertezza; più a lungo un incidente rimane poco chiaro, più è difficile per i responsabili calcolare l'impatto sul business. Una buona misurazione delle perdite dipende da log accurati, inventari degli asset e dati di ripristino, così che le organizzazioni possano spiegare che cosa è andato perso, che cosa è stato contenuto e che cosa resta ancora incerto.