Gli esiti formativi sono i risultati di apprendimento misurabili usati per valutare se un intervento di formazione o insegnamento ha davvero funzionato. Nella sicurezza informatica, vanno oltre i tassi di presenza o di completamento e osservano ciò che le persone sanno fare dopo: riconoscere il phishing, seguire la policy sulle password, segnalare correttamente gli incidenti o applicare procedure sicure nel lavoro quotidiano.
Contano perché i programmi di sensibilizzazione alla sicurezza possono sembrare efficaci sulla carta pur cambiando poco il comportamento. I difensori usano quiz, simulazioni, prestazioni nei compiti e valutazioni di follow-up per misurare gli esiti e confrontarli con i riferimenti iniziali precedenti. Gli attaccanti traggono vantaggio quando gli esiti sono deboli, perché lezioni apprese male lasciano gli utenti vulnerabili all'ingegneria sociale e agli errori. Buoni esiti formativi mostrano che la formazione sulla sicurezza è passata dalla semplice trasmissione di informazioni a un vero cambiamento del comportamento.