Un criterio di fallimento è l’azione o l’esito specifico che un’esercitazione usa per classificare un partecipante come caduto in un attacco simulato. In una simulazione di phishing, potrebbe trattarsi di fare clic su un link, aprire un allegato, inserire le credenziali o non segnalare il messaggio. Queste azioni hanno diversi livelli di rilevanza per la sicurezza, quindi il criterio dovrebbe essere definito e documentato.
Criteri chiari rendono i risultati della simulazione utili per migliorare le difese, anziché produrre un punteggio fuorviante. Per esempio, il solo tasso di clic non indica se sono state inviate credenziali o se gli utenti hanno segnalato il messaggio. I team di sicurezza dovrebbero monitorare separatamente le azioni pertinenti e interpretare i risultati nel contesto, considerando la difficoltà dell’esca, il pubblico e la progettazione dell’esercitazione. Un criterio di fallimento misura una risposta a una simulazione; da solo, non dimostra che si sia verificata una compromissione reale.