Enquanto o Risk Index e o Security Index são cálculos que dizem respeito ao PSR (ou seja, são relacionados a aspectos qualitativos do objeto), o Gap Index tem a ver com aspectos quantitativos de um objeto. Essa métrica analisa o número de controles não implementados para um objeto e gera um número relativo como resultado.
A fórmula básica para calcular o Gap Index para um determinado objeto é a seguinte: