I sistemi interessati sono i dispositivi, i server, gli endpoint, le macchine virtuali o gli ambienti gestiti che eseguono un prodotto o una versione vulnerabile. Se il software è presente ed esposto alla falla, quel sistema viene considerato interessato finché non viene applicata una patch, rimosso o altrimenti mitigato. In pratica, "interessato" dipende di solito dalla build esatta, dalla configurazione, dal ruolo e talvolta dai privilegi con cui il software viene eseguito.
Questo termine è importante perché i team di sicurezza devono sapere dove esiste davvero il rischio. Gli aggressori spesso cercano i sistemi interessati per trovare punti di ingresso facili o per trasformare un primo accesso locale in un controllo più ampio, ad esempio tramite l'escalation dei privilegi. I difensori usano inventari degli asset, controlli delle versioni e scansioni delle vulnerabilità per identificare rapidamente i sistemi interessati, quindi danno priorità alle patch, ai controlli compensativi e al monitoraggio. In altre parole, la vera domanda operativa non è solo se esista un bug, ma quali macchine nell'ambiente possono esserne raggiunte.