NIST SP800-80

Vejam o documento do NIST (http://csrc.nist.gov), Draft Special
Publication 800-80, Guide for Developing Performance Metrics for Information
Security.

Muito bom como referência para a definição de métricas.