A estrutura operacional de um programa de medição de
segurança da informação é determinada de acordo com a
complexidade do sistema de gestão de segurança da
informação, sendo necessário que as métricas estejam
diretamente relacionadas à operação do sistema de gestão de
segurança da informação.