Uno strumento di valutazione è un sistema che raccoglie input, applica regole o punteggi e trasforma il risultato in una valutazione. Nella sicurezza informatica, gli input possono includere dati dell'host, impostazioni di configurazione, risposte degli utenti, log o checklist di controllo. L'output è spesso una valutazione, un punteggio di rischio o un'analisi delle lacune.
Gli strumenti di valutazione sono importanti perché aiutano i team a decidere cosa correggere per primo. Scanner di sicurezza, verificatori di vulnerabilità, revisioni della postura e questionari di conformità funzionano tutti in questo modo. Possono evidenziare password deboli, patch mancanti, servizi aperti o governance difettosa. La qualità del risultato dipende dalla qualità dei dati e del modello di punteggio, quindi uno strumento scadente può generare un falso senso di sicurezza. Nelle difese reali, gli strumenti di valutazione supportano i controlli di base e le revisioni ripetibili. Negli attacchi reali, gli avversari usano una raccolta strutturata simile durante la ricognizione per mappare i punti deboli prima dello sfruttamento.