Un confine del controllo è l'ambito definito di una valutazione di sicurezza: i sistemi, gli utenti, le applicazioni, i dispositivi e i flussi di dati inclusi nel valutare se i controlli stanno funzionando. Qualsiasi cosa all'interno del confine deve essere gestita, monitorata e documentata; qualsiasi cosa al di fuori non fa parte di tale revisione.
Questo è importante perché le affermazioni di sicurezza hanno significato solo se l'ambito è chiaro. Nel CMMC, ad esempio, un fornitore potrebbe dover mostrare esattamente dove le Informazioni Non Classificate Controllate vengono archiviate, elaborate o trasmesse. Se gli strumenti di supporto remoto, i percorsi di aggiornamento del firmware, i collegamenti con i subappaltatori o i servizi cloud vengono omessi dal confine, gli attaccanti possono sfruttare queste lacune e gli auditor possono rifiutare la valutazione. I difensori usano i confini del controllo per ridurre l'ambiguità, mantenere coerenti le prove ed evitare l'"aumento di scope" che indebolisce la conformità e nasconde il rischio.