L'ambito compromesso è la portata completa di dati, sistemi, account o utenti interessati in un incidente di sicurezza. È più ampio di un avviso iniziale o di un conteggio riportato nei titoli, perché gli investigatori possono successivamente trovare duplicati, copie mirror, backup, esportazioni o sistemi a valle che contengono anch'essi dati esposti. In ambienti regolamentati, soprattutto in ambito sanitario, l'ambito finale può cambiare man mano che le prove vengono esaminate e si applicano le regole legali di notifica.
L'ambito è importante perché guida contenimento, analisi forense, divulgazione e remediation. Un piccolo punto d'appoggio può trasformarsi in una violazione estesa se l'attaccante raggiunge condivisioni di file, database o sistemi di identità. I difensori misurano l'ambito compromesso controllando i registri di accesso, i flussi di dati, la telemetria degli endpoint e le posizioni dei backup per determinare cosa è stato toccato, sottratto o modificato. Una definizione chiara dell'ambito aiuta a evitare sottostime, sovrastime e notifiche mancate.