I criteri misurabili sono condizioni di test specifiche e ripetibili usate per stabilire se un sistema funziona come previsto. Invece di obiettivi vaghi come "veloce" o "sicuro", definiscono che cosa viene testato, in quali condizioni e come viene conteggiato il successo. Questo rende i risultati confrontabili tra strumenti, team o periodi di tempo diversi.
In ambito di cybersecurity, i criteri misurabili sono importanti perché i difensori devono dimostrare che i controlli funzionano, non solo affermarlo. Per esempio, un test di backup può misurare il tempo di ripristino e la perdita di dati, mentre un'esercitazione di risposta agli incidenti può misurare il tempo di rilevamento, il tempo di contenimento e l'accuratezza degli avvisi. Anche gli attaccanti sfruttano criteri deboli: se un team di sicurezza verifica un controllo solo in condizioni ideali, un attaccante può aggirarlo con traffico anomalo, input malformati o trucchi di temporizzazione. Criteri chiari mettono in evidenza questi casi limite e aiutano i team di sicurezza a confrontare rilevamento, rafforzamento e ripristino in modo coerente.