La certificazione del fornitore è un processo formale di approvazione utilizzato per verificare che un provider cloud, un fornitore di software o un integratore di servizi soddisfi requisiti definiti di sicurezza, privacy o conformità. La certificazione può riguardare controlli come la gestione delle identità, la crittografia, la registrazione degli eventi, la risposta agli incidenti, la sicurezza fisica e le regole di gestione dei dati. In pratica, aiuta gli acquirenti a confrontare i fornitori rispetto a una base comune invece di affidarsi solo alle dichiarazioni di marketing.
Nella cyber security, la certificazione è importante perché molte violazioni iniziano da controlli deboli di terze parti, non da attacchi diretti alla rete principale. Ci si aspetta che un fornitore certificato supporti la verificabilità e un approvvigionamento più sicuro, il che è particolarmente importante nei programmi di cloud sovrano e in altri ambienti regolamentati. I difensori usano la certificazione per ridurre il rischio della catena di fornitura e applicare standard prima che i sistemi vengano connessi. Gli attaccanti, nel frattempo, spesso sfruttano i divari tra la documentazione di certificazione e le operazioni nel mondo reale, come log mancanti, accessi con privilegi eccessivi o configurazioni obsolete. La certificazione è utile solo quando è supportata da test, monitoraggio e revisioni periodiche.