Lo stato di esposizione descrive se un sistema, un servizio o un'interfaccia è raggiungibile da un potenziale aggressore, soprattutto dal pubblico Internet. Un host dietro un firewall senza accesso in ingresso ha una bassa esposizione; un'applicazione web, un gateway VPN o un'API esposta hanno un'esposizione più elevata perché possono essere individuati e sondati da remoto.
Nella sicurezza informatica, lo stato di esposizione conta perché la raggiungibilità spesso determina se una debolezza possa essere attaccata affatto. Una vulnerabilità non corretta in un servizio rivolto a Internet è molto più urgente della stessa vulnerabilità su un sistema interno isolato. I difensori usano lo stato di esposizione per dare priorità alla correzione, applicare controlli compensativi e ridurre la superficie di attacco limitando le porte aperte, restringendo l'accesso di rete e collocando i servizi sensibili dietro l'autenticazione o la segmentazione. Gli aggressori, invece, eseguono prima la scansione dei sistemi esposti, poi li testano per individuare debolezze e configurazioni errate note.