Un indicatore di portata è una misura approssimativa che suggerisce quanto potrebbe essere grande un evento, un dataset o un'area esposta. Esempi comuni sono il numero di file, il numero di cartelle o la dimensione dell'archiviazione, ad esempio in gigabyte. Indica la scala, ma non dimostra quale tipo di dati sia coinvolto, se i dati siano attuali o se qualcosa sia stato effettivamente rubato o modificato.
Nel campo della sicurezza informatica, gli indicatori di portata sono importanti perché le segnalazioni iniziali spesso includono prove parziali. Una pagina per una vittima di ransomware può elencare migliaia di file o una grande cifra di archiviazione per creare pressione, ma quei numeri da soli non confermano esfiltrazione, cifratura o impatto operativo. I difensori usano gli indicatori di portata come punto di partenza per il triage: controllare i log, rivedere l'attività degli account, verificare i backup e confrontare le affermazioni pubblicate con le prove interne. Se interpretato correttamente, un indicatore di portata aiuta a dare priorità alla risposta senza trasformare le speculazioni in fatti.