تعريف نطاق التقييم بما يتماشى مع قوانين الأمن السيبراني وحماية الخصوصية والمعايير الصناعية واللوائح ذات الصلة. ضمان أن يغطي هذا النطاق عدة عناصر رئيسية، بما في ذلك تحديد البيانات الحساسة (التي تشمل المعلومات الشخصية والمعلومات التجارية الحيوية)، أنظمة وتطبيقات الأعمال الرئيسية، إجراءات وسياسات إدارة المخاطر، وكذلك قدرات الأمان.