A pergunta que ele responde
Raio de impacto é o alcance do dano se um ativo específico for comprometido. Não o quanto aquele ativo vale, e sim o que ele toca: quais sistemas ele acessa, quais credenciais ele guarda, para onde ele consegue se mover.
É uma pergunta sobre consequência, e ela muda a ordem da fila mais que qualquer nota de gravidade.
Por que ele reordena a fila
Duas falhas com a mesma nota CVSS podem ter consequências separadas por ordens de grandeza.
Uma delas está num site institucional isolado, sem banco de dados, sem integração, hospedado fora do ambiente principal. Comprometê-lo dá ao adversário uma página para desfigurar.
A outra está num servidor de aplicação que fala com o diretório de identidade e guarda credencial de serviço no arquivo de configuração. Comprometê-lo dá o começo de um caminho para dentro.
O scanner atribui a mesma nota às duas, porque a nota descreve a falha e não o lugar onde ela mora.
Como estimar sem mapear tudo
O levantamento completo de caminhos exige visibilidade interna que a maioria não tem. Três perguntas baratas cobrem boa parte do valor.
Que credenciais este ativo guarda ou usa? Credencial de serviço em arquivo de configuração é o multiplicador mais comum de raio de impacto.
Com que outros sistemas ele conversa? Integração por API e conexão a banco definem para onde o comprometimento se estende sem esforço extra.
Ele compartilha identidade com o ambiente principal? Um ambiente de homologação autenticado contra o mesmo diretório de produção tem raio de impacto de produção, e quase sempre é tratado como se não tivesse.
O erro de leitura mais comum
Confundir raio de impacto com criticidade do ativo.
Criticidade descreve o valor do que está ali. Raio de impacto descreve o alcance a partir dali. O ativo de menor valor da organização pode ter o maior raio, e costuma ser exatamente esse o caso: um servidor esquecido, sem dado nenhum, que guarda uma credencial de serviço que ainda funciona.
Onde ele entra na priorização
Priorizar por gravidade ordena por quão ruim a falha é em teoria. Priorizar por raio de impacto ordena por quão longe o adversário chega se ele passar por ali.
A combinação que funciona é usar validação de exploitabilidade para saber o que é alcançável de verdade e raio de impacto para ordenar o que sobrou. A primeira corta o que é teórico; o segundo decide o que atacar primeiro entre o que restou.