La valutazione basata sui risultati è un modo per giudicare un programma di sicurezza in base a ciò che cambia nel mondo reale, non in base a quanti compiti completa. Nella cyber security, significa misurare risultati come un numero minore di intrusioni riuscite, un rilevamento più rapido, tassi più bassi di reinfezione, finestre di applicazione delle patch più brevi o un recupero migliore dopo un incidente. Questo è importante perché il conteggio delle attività può sembrare positivo mentre il rischio resta elevato: un team può eseguire molte scansioni, formazioni o avvisi senza ridurre davvero la compromissione.
I team di sicurezza usano la valutazione basata sui risultati per esercitazioni di risposta agli incidenti, sensibilizzazione al phishing, gestione delle vulnerabilità e detection engineering. Ad esempio, un programma di formazione è più credibile se riduce i tassi di click-through e migliora le segnalazioni, e un programma di patch è più solido se le vulnerabilità critiche vengono corrette prima che gli attaccanti possano sfruttarle. L'obiettivo è collegare i controlli alle evidenze: il controllo ha fermato un attacco, ne ha limitato l'impatto o ha migliorato la resilienza? Questo rende la misura utile sia per la pianificazione difensiva sia per l'audit.