Un confine di valutazione è l'insieme definito di sistemi, applicazioni, utenti, reti, servizi cloud e ambienti connessi che sono inclusi in una revisione di conformità. In framework come CMMC, il confine mostra esattamente cosa rientra nell'ambito per controlli, test e raccolta di prove. Non è una promessa di sicurezza a livello aziendale; è una linea formale attorno alle risorse che devono soddisfare le misure di protezione richieste.
Questo è importante perché gli aggressori spesso cercano punti deboli appena fuori o al di là del confine, come identità condivise, endpoint non gestiti, integrazioni di terze parti o configurazioni cloud errate che possono estendersi nei sistemi inclusi nell'ambito. I difensori usano il confine per concentrare il rafforzamento della sicurezza, il logging, il controllo degli accessi e gli inventari delle risorse sull'ambiente giusto, mentre i valutatori lo usano per verificare che l'ambito documentato corrisponda alla realtà. Se il confine è tracciato in modo troppo ampio, la conformità diventa costosa; se è tracciato in modo troppo ristretto o inaccurato, i dati sensibili possono rimanere non protetti.