Una catena di subappalto è l'insieme stratificato di fornitori a valle che supportano un servizio ICT primario. Il fornitore diretto può ospitare il servizio, ma parti di esso possono dipendere da ulteriori provider cloud, società di servizi gestiti, fornitori di software o partner infrastrutturali. Nella sicurezza informatica, questo è importante perché il controllo sul servizio diventa più debole man mano che la catena si allunga e diventa meno visibile.
Gli aggressori cercano catene di subappalto per raggiungere un bersaglio in modo indiretto, ad esempio compromettendo un fornitore più piccolo che ha accesso fiduciario, aggiornamenti condivisi o percorsi di amministrazione remota verso l'ambiente principale. I difensori usano lo stesso concetto per mappare le dipendenze, rivedere i contratti e verificare se un servizio può essere isolato o abbandonato se un livello fallisce. Nell'ambito di framework di resilienza come DORA, documentare l'intera catena aiuta i consigli di amministrazione e i team di sicurezza a individuare il rischio di concentrazione, i singoli punti di guasto nascosti e le lacune nella risposta agli incidenti.