La governance dei fornitori è il processo di definizione dei requisiti di sicurezza per i fornitori, di monitoraggio di ciò a cui sono autorizzati ad accedere e di supervisione continua del rischio creato dai servizi esternalizzati. Include contratti, due diligence, controllo degli accessi, diritti di audit, aspettative di applicazione delle patch, segnalazione degli incidenti e piani di uscita per quando termina un rapporto con un fornitore.
È importante perché molti attacchi prendono di mira l'anello più debole della supply chain invece dell'organizzazione principale. Un fornitore gestito in modo inadeguato può avere privilegi eccessivi, autenticazione debole o accesso remoto non sicuro che gli aggressori possono sfruttare per raggiungere i sistemi dei clienti. Una solida governance dei fornitori riduce tale esposizione limitando la fiducia, verificando la conformità e garantendo che l'organizzazione possa sostituire, isolare o ripristinare un fornitore senza perdere il controllo delle operazioni critiche.