Un segnale di approvvigionamento è qualsiasi fatto che gli acquirenti usano quando decidono se un fornitore è adatto per un acquisto sensibile. Nel campo della cybersecurity, questi segnali possono includere la struttura proprietaria, la governance, i risultati degli audit, le certificazioni, le pratiche di divulgazione, la giurisdizione legale e le prove di supervisione indipendente. Da soli non dimostrano che un fornitore sia sicuro o insicuro; aiutano gli acquirenti a stimare fiducia, responsabilità e rischio di dipendenza.
I segnali di approvvigionamento sono importanti perché i team di sicurezza spesso devono scegliere i fornitori prima che ci sia un incidente da analizzare. Un prodotto valido può comunque destare preoccupazione se l'acquirente non riesce a capire chi controlla le decisioni, come vengono risolte le controversie o se sia possibile una revisione esterna. Nelle difese reali, i segnali di approvvigionamento influenzano la due diligence sui fornitori, le clausole contrattuali e le valutazioni del rischio della supply chain. Negli attacchi, gli avversari possono cercare di sfruttare controlli di acquisto deboli facendo accettare un fornitore dubbio in un ambiente considerato affidabile.