Un grafo di raggiungibilità è una mappa dei sistemi, dei servizi, dei dati e delle azioni che diventano disponibili quando autorizzazioni e dipendenze vengono combinate. Anziché chiedere solo ciò che un'identità è autorizzata a fare sulla carta, mostra a cosa può effettivamente arrivare seguendo percorsi validi attraverso strumenti, API, flussi di lavoro e relazioni di fiducia.
Nella sicurezza informatica, questo è importante perché gli aggressori e gli agenti autonomi spesso sfruttano i percorsi, non i singoli permessi. Un account modesto può comunque raggiungere risorse sensibili se può concatenare azioni tra servizi interni o credenziali riutilizzate. I difensori usano l'analisi di raggiungibilità per individuare percorsi non intenzionali, ridurre la fiducia eccessivamente connessa e scoprire dove un permesso a basso rischio diventa pericoloso quando combinato con un altro. È un modo pratico per identificare i percorsi di attacco, limitare il movimento laterale e rendere più rigorose le revisioni degli accessi in base al comportamento reale del sistema.