L'ambito dell'impatto è l'entità confermata di un'intrusione, di un'interruzione o di un'esposizione di dati. Risponde a domande pratiche: quali sistemi sono stati प्रभावित? quali account o file sono stati coinvolti? se i dati sono stati esfiltrati e per quanto tempo il servizio è stato compromesso. Nella sicurezza informatica, questo è diverso da un'affermazione o da un sospetto: è la parte che può essere supportata da log, prove forensi e report verificati.
Conoscere l'ambito dell'impatto è importante perché determina contenimento, notifica, ripristino e risposta legale. Gli aggressori possono esagerare l'impatto per fare pressione sulle vittime, mentre i difensori devono evitare di sottostimarlo. Negli incidenti reali, i team determinano l'ambito controllando i log di autenticazione, gli avvisi degli endpoint, le tracce di rete, i backup e i record di audit del cloud. Un ambito ristretto o non confermato può significare che esiste solo una rivendicazione pubblica, mentre un ambito verificato mostra il danno effettivo che deve essere rimediato.