Een SIEM-systeem moet worden geëvalueerd aan de hand van indicatoren.
Bijvoorbeeld :
MTTD
Gemiddelde tijd om te detecteren
Gemiddelde tijd die nodig is om een incident te detecteren.
MTTA
Gemiddelde tijd tot bevestiging
De gemiddelde tijd voordat de waarschuwing wordt gegeven, wordt in aanmerking genomen.
MTTR
Gemiddelde reactie-/hersteltijd
De gemiddelde tijd die nodig is om te reageren of de situatie te herstellen, volgens de gebruikte definitie.
Andere indicatoren:
- aantal waarschuwingen
- vals-positief percentage
- geschatte vals-negatieve frequentie
- aantal bevestigde incidenten
- MITRE ATT&CK-hoes
- onderzoekstijd
- activa dekking
- Beschikbaarheid van de collectie
- kwaliteit van het logboek.