Gli appalti federali sono il processo che le agenzie del governo degli Stati Uniti usano per acquisire prodotti, software e servizi da fornitori esterni. È più di un canale di vendita: gli acquirenti devono seguire regole su concorrenza, documentazione, struttura dei contratti e conformità alla sicurezza. Per i fornitori di cybersicurezza, gli appalti possono richiedere la prova dei controlli di identità, dell'integrità della catena di fornitura, della risposta agli incidenti, della gestione dei dati e dello stato di autorizzazione, come FedRAMP o altre revisioni specifiche dell'agenzia.
Questo è importante nella sicurezza informatica perché gli aggressori possono prendere di mira la catena degli appalti tramite prodotti contraffatti, rivenditori compromessi o aggiornamenti software manomessi, mentre i difensori usano gli appalti per imporre una sicurezza di base prima che un sistema venga mai distribuito. In pratica, i fornitori spesso devono definire con precisione il servizio offerto, mostrare un chiaro perimetro di autorizzazione e fornire prove che i controlli siano operativi in modo continuo. Per gli acquirenti, gli appalti federali sono il punto in cui i requisiti di sicurezza diventano clausole contrattuali vincolanti anziché semplici affermazioni di marketing.