L'esposizione all'attacco è il grado in cui un sistema può essere raggiunto o contattato da un potenziale attaccante. Misura l'accessibilità, non la compromissione: un servizio può essere esposto tramite Internet, un percorso di accesso remoto, una rete interna piatta o sistemi operativi scarsamente segmentati.
Questo è importante perché i sistemi raggiungibili sono più facili da scansionare, fingerprintare e prendere di mira. Nella sicurezza informatica, l'esposizione spesso diventa la prima condizione di cui un attaccante ha bisogno prima di sfruttare una vulnerabilità, indovinare credenziali o abusare di canali di controllo mal configurati. Nei data center e in altri ambienti cyber-fisici, l'esposizione può influire su alimentazione, raffreddamento, automazione degli edifici o altra tecnologia operativa, dove un'interruzione può compromettere la disponibilità anche se non viene rubato alcun dato. I difensori riducono l'esposizione all'attacco inventariando gli asset, rimuovendo i servizi non necessari, limitando l'accesso remoto, isolando le reti di controllo e imponendo autenticazione forte e monitoraggio per tutto ciò che deve rimanere raggiungibile.