Una valutazione del fornitore è una revisione formale della postura di sicurezza, affidabilità, privacy e conformità di un fornitore prima o durante una relazione commerciale. I team di sicurezza la usano per decidere se un terzo è sicuro da connettere, con cui condividere dati o da cui dipendere per servizi critici. La revisione spesso copre controlli come la gestione degli accessi, la crittografia, la risposta agli incidenti, l'applicazione di patch, i risultati degli audit e l'allineamento normativo.
Nel cyber security, le valutazioni dei fornitori sono importanti perché molte violazioni iniziano attraverso fornitori fidati anziché tramite attacchi diretti. Un accesso remoto debole, cattive pratiche di sviluppo software o affermazioni di conformità non verificate possono trasformare un partner in un punto di ingresso. I difensori usano le valutazioni per ridurre il rischio della supply chain, supportare le decisioni di approvvigionamento e documentare perché un fornitore è stato approvato, limitato o rifiutato. Le buone valutazioni dovrebbero basarsi su evidenze ed essere ripetibili, in modo che le etichette di rischio siano chiare, difendibili e utili per le decisioni operative.