Gli effetti di composizione si verificano quando un risultato statistico cambia perché è cambiata la combinazione di persone, posti di lavoro, asset o eventi, non perché il comportamento sottostante sia cambiato nello stesso modo. Nei dati sul lavoro, un aumento dei salari può riflettere candidati con maggiore anzianità, titoli di lavoro diversi o un cambiamento nelle persone assunte. La stessa idea si applica alla sicurezza informatica: una metrica può variare semplicemente perché l'ambiente monitorato non è più lo stesso.
Questo è importante perché i difensori spesso confrontano medie, tassi e tendenze nel tempo. Se un'organizzazione aggiunge più carichi di lavoro cloud ad alto rischio, più utenti remoti o più analisti junior, i conteggi degli incidenti, i tempi di rilevamento e i tassi di falsi positivi possono tutti cambiare per ragioni compositive. Gli aggressori possono sfruttare la confusione cambiando tattiche, gruppi di destinazione o canali di distribuzione, facendo apparire la loro attività diversa nei report. Una buona analisi separa il vero cambiamento delle prestazioni dai cambiamenti nella combinazione sottostante, segmentando i dati per tipo di host, gruppo di utenti, classe di avviso o fascia di anzianità.