Il livello di visibilità è il contesto combinato di reporting, registrazione, monitoraggio e classificazione che determina ciò che i difensori possono effettivamente vedere e contare. Non è l'attacco in sé, ma la lente attraverso cui gli incidenti diventano misurabili: avvisi di sicurezza, ticket di incidente, report legali e notifiche alle autorità di regolamentazione confluiscono tutti in esso.
Questo è importante perché le statistiche informatiche sono affidabili solo quanto lo è il livello di visibilità su cui si basano. Una nuova regola di segnalazione, una distribuzione più ampia dei sensori o un triage migliore possono far aumentare il numero di incidenti anche se il comportamento degli attaccanti non è cambiato. Nella difesa, un livello di visibilità solido aiuta i team a rilevare prima le anomalie, preservare le prove, separare il rumore dagli eventi da segnalare e spiegare le decisioni in modo coerente tra sicurezza, aspetti legali e operations. Negli attacchi, gli avversari spesso cercano di rompere o offuscare questo livello eliminando i log, usando tecniche lente e graduali, living off the land o muovendosi lateralmente in modi che sembrano attività normali. Quando la visibilità è debole, la compromissione può rimanere nascosta; quando è forte, le minacce diventano più facili da individuare, contare e investigare.