L'ambito della valutazione è l'insieme definito di sistemi, controlli, processi e pratiche operative che una revisione di sicurezza esamina effettivamente. In una certificazione, in un audit o in un'attività di assurance, l'ambito risponde a una domanda fondamentale: che cosa è stato testato e che cosa non lo è stato? Un ambito ristretto può coprire solo una versione del prodotto, un modello di distribuzione o un insieme limitato di controlli amministrativi.
L'ambito è importante perché le dichiarazioni di sicurezza sono valide solo entro i confini che sono stati esaminati. Gli aggressori spesso sfruttano il divario tra un componente conforme e l'ambiente più ampio che lo circonda, come controlli di identità deboli, integrazioni non revisionate o aggiornamenti non gestiti. I difensori usano l'ambito per definire le aspettative, confrontare le prove in modo equo ed evitare di attribuire un livello di assurance eccessivo. Quando un rapporto o una valutazione non indica chiaramente l'ambito, il risultato può essere fuorviante anche se le evidenze tecniche sono corrette.