Una base di approvvigionamento è un insieme minimo di aspettative di sicurezza che gli acquirenti usano quando valutano prodotti o servizi. Trasforma la cybersicurezza da un elenco informale di desideri in un requisito di acquisto. Le voci tipiche includono possibilità di applicare patch, autenticazione, registrazione dei log, supporto alla divulgazione delle vulnerabilità, crittografia e impegni chiari sugli aggiornamenti o sulla fine del supporto.
È importante perché molti guasti di sicurezza iniziano prima della distribuzione: un prodotto debole può essere difficile da mettere in sicurezza in seguito, soprattutto in ambienti medicali o industriali connessi. Una base aiuta i difensori a confrontare i fornitori, rifiutare configurazioni predefinite rischiose e richiedere controlli compensativi o eccezioni documentate quando un prodotto non può soddisfare ogni richiesta. Negli attacchi reali, le basi riducono l'esposizione a configurazioni non sicure, software non supportato e dispositivi che non possono essere patchati. In difesa, offrono ai team di approvvigionamento, sicurezza e ingegneria un linguaggio comune per rendere visibile il rischio in anticipo, prima che l'acquisto diventi una passività operativa a lungo termine.