Un catalogo delle metriche è un elenco governato di misurazioni di sicurezza che definisce cosa significa ciascuna metrica, come viene calcolata, chi ne è responsabile e quando viene aggiornato. In pratica, agisce come standard di riferimento per la reportistica, così lo stesso numero significa la stessa cosa tra dashboard, fogli di calcolo e dossier per il consiglio di amministrazione.
Nella sicurezza informatica, un catalogo delle metriche è importante perché gli aggressori sfruttano la confusione, mentre i difensori hanno bisogno di coerenza. Se un team conta le vulnerabilità per asset e un altro per singola scoperta, oppure se le finestre temporali differiscono tra i report SIEM ed EDR, la dirigenza può ricevere risultati fuorvianti. Un catalogo riduce le deviazioni, supporta la verificabilità e preserva la tracciabilità dai dati telemetrici grezzi alle metriche esecutive. Viene comunemente usato quando si combinano dati provenienti da strumenti per identità, cloud, endpoint e vulnerabilità in un'unica vista del rischio. Buoni cataloghi aiutano anche i difensori a individuare tendenze reali, come un'esposizione crescente o una correzione delle patch più lenta, invece del rumore creato da definizioni che cambiano.