L'ambito della compromissione è l'entità verificata del danno causato da un incidente di sicurezza. Risponde alla domanda su cosa sia stato effettivamente colpito: quali sistemi sono stati accessi, quali dati potrebbero essere stati esposti o modificati e quali utenti o account sono stati interessati. La parola chiave è verificata. Una segnalazione, un avviso o un elenco di vittime può suggerire un incidente, ma l'ambito è noto solo dopo aver controllato i log, i dati degli endpoint, i registri delle identità e i risultati delle analisi forensi.
Questo termine è importante perché le decisioni di risposta dipendono da esso. Se l'ambito è limitato, i difensori possono isolare un singolo host o reimpostare un piccolo insieme di credenziali. Se è ampio, potrebbero dover disabilitare account, segmentare le reti, notificare i clienti e preservare le prove per l'indagine. Negli attacchi reali, gli attori delle minacce spesso cercano di gonfiare l'ambito apparente per creare pressione, mentre i difensori lavorano per separare le voci dall'impatto confermato. Un chiaro ambito della compromissione aiuta i team a dare priorità al contenimento, al ripristino, agli obblighi legali e alle comunicazioni.