La fiducia nella supply chain è la certezza su da dove provenga un componente di terze parti, su come venga aggiornato e su chi lo controlli. Il componente può essere una libreria software, un modello, un plugin o un servizio ospitato. I team di sicurezza si preoccupano di questo confine di fiducia perché una dipendenza può essere innocua oggi e diventare pericolosa dopo un aggiornamento compromesso, un account dirottato o una modifica non autorizzata nel percorso di distribuzione.
Negli attacchi, una fiducia debole nella supply chain consente al codice malevolo di entrare tramite canali apparentemente legittimi, come pacchetti avvelenati, installer manomessi o output di servizio alterati. Nelle difese, i team riducono questo rischio bloccando le versioni, verificando firme e hash, controllando l'accesso dei maintainer, limitando gli aggiornamenti automatici e isolando i componenti ad alto rischio da credenziali sensibili e sistemi di produzione. In breve, la fiducia nella supply chain non è una fiducia cieca in un fornitore; è l'insieme di prove e controlli che rendono un componente di terze parti abbastanza sicuro da usare.