L'ambito dei dati è l'insieme di file, sistemi, account e record a cui potrebbe essere stato effettuato l'accesso durante un incidente di sicurezza. È più ampio della sola esfiltrazione confermata: gli analisti lo usano per definire il possibile raggio d'impatto mentre stanno ancora determinando cosa un intruso avrebbe potuto vedere, copiare, modificare o eliminare.
Questo è importante perché l'ambito dei dati a cui si è avuto accesso determina la risposta all'incidente, la revisione legale e le decisioni di notifica. Se gli aggressori hanno toccato solo una singola postazione di lavoro, l'impatto è diverso rispetto all'accesso a unità condivise, database o repository di codice sorgente. I difensori stabiliscono l'ambito dei dati correlando i registri delle identità, la telemetria di accesso ai file, l'attività degli endpoint e i record di rete, cercando letture insolite, download in massa, creazione di archivi e trasferimenti in uscita. Negli attacchi, l'ambito dei dati spesso si amplia silenziosamente prima che il furto sia confermato; nella difesa, restringerlo aiuta i team a concentrarsi sul contenimento, preservare le prove e valutare quali informazioni possano essere state esposte.