L'ambito PCI è l'insieme di sistemi, applicazioni, reti e processi che devono rispettare i requisiti di sicurezza per le carte di pagamento previsti dal PCI DSS. Se un sistema archivia, elabora o trasmette dati della carta, oppure può influire sulla sicurezza di queste funzioni, può rientrare nell'ambito.
Questo è importante perché, quanto più ampio è l'ambito, tanto più controlli, audit e attività di hardening un'organizzazione deve mantenere. I team di sicurezza spesso usano la tokenizzazione, la segmentazione e controlli di accesso rigorosi per tenere i dati sensibili del titolare della carta fuori dal maggior numero possibile di sistemi. Nelle difese reali, ridurre l'ambito PCI può limitare i punti in cui gli aggressori possono raggiungere i dati della carta e ridurre il numero di sistemi che richiedono un monitoraggio intensivo. Negli attacchi, un sistema debolmente protetto all'interno dell'ambito può diventare un percorso diretto verso i dati di pagamento, quindi una mappatura accurata dell'ambito è una parte fondamentale sia della conformità sia della prevenzione delle violazioni.