Metodo seguito significa il ragionamento e i passaggi usati per arrivare a una decisione, non solo il risultato finale. Nella sicurezza informatica, questa è la differenza tra dire che un controllo o un'indagine è stata “fatta” e poter mostrare come è stata fatta, perché alcune evidenze sono state considerate affidabili e come si è arrivati alla conclusione.
Questo è importante perché gli aggressori spesso sfruttano i processi deboli tanto quanto la tecnologia debole. Un team che non riesce a spiegare il proprio metodo può perdere indicatori, applicare i controlli in modo incoerente o non riuscire a difendere le proprie azioni in un audit o in una revisione di un incidente. I buoni metodi creano tracciabilità: log, note dei ticket, criteri di rischio, percorsi di escalation e fasi di revisione che consentono ad altri di ricostruire la decisione. Nella difesa, un metodo chiaro migliora la ripetibilità, la responsabilità e la qualità della risposta agli incidenti. Nella conformità, dimostra che i giudizi sono stati sistematici e non improvvisati.