이를 위해서는 먼저 현실적으로 수집 가능한 보안지표를 일정기간 동안 수집해야 한다. 여기서 말하는 보안지표란 생각 영역에 해당하는 ‘보안 인식 지표’와 생각한 대로 행동한 결과인 ‘보안 준수 지표’를 말한다. 보안 인식 지표의 예로는 보안교육 이수 여부, 보안 신고 건수, 개인적 공유 내용, 보안 가이드 요청 건수 등이다. 그리고 보안 준수 지표의 예로는 보안 정책 준수 건수, 보안 정책 위반 건수 등이다. 이러한 보안지표는 많으면 많을수록 객관적인 정량화가 가능하기 때문에 ‘보안 인식’과 ‘보안 준수’라는 카테고리로 나누어 많은 지표를 수집하는 것이 매우 중요하다. 필자의 경험에 비추어 볼 때, 지표의 다양성과 객관성을 유지하기 위하여 최소 1년 동안은 보안지표를 수집할 필요가 있다.
이를 위해 먼저 현실적으로 수집 가능한 보안지표인 '보안 인식 지표(사고영역)'와 '보안 준수 지표(행동영역)'가 필요하다. 이 두 영역에 대해 최대한 많은 양의 정보가 수집될수록 지표는 객관적이게 유지된다.