La Gestione del rischio della catena di fornitura (SCRM) è la pratica di identificare, valutare e ridurre il rischio di sicurezza introdotto da hardware, software, servizi e fornitori. Va oltre il prodotto stesso e si chiede se il componente sia stato realizzato, consegnato, aggiornato e supportato in modo affidabile. Nella sicurezza informatica, questo è importante perché un attaccante può compromettere un sistema prima ancora che venga distribuito, inserendo codice malevolo, alterando il firmware, abusando dell'accesso remoto o sfruttando i controlli deboli di un fornitore.
La SCRM è particolarmente importante nelle infrastrutture critiche, dove un dispositivo affidabile può influire sulla sicurezza e sulla disponibilità oltre che sui dati. Le difese includono l'inventario dei fornitori, la verifica dell'autenticità, il controllo della provenienza, la limitazione dell'accesso dei fornitori, la revisione dei canali di aggiornamento e la richiesta di pratiche sicure di sviluppo e manutenzione. Negli ambienti reali, la SCRM compare nelle revisioni degli acquisti, nella convalida del firmware, nei controlli della distinta base del software e nelle valutazioni del rischio di terze parti. L'obiettivo è semplice: la fiducia deve essere guadagnata e verificata, non data per scontata.