La governance dei contractor è l'insieme di controlli che definiscono cosa può fare il personale di terze parti, come viene revisionato il loro lavoro e quando il loro accesso deve terminare. تشمل il provisioning degli account, l'accesso basato sui ruoli, i flussi di approvazione, la registrazione, la separazione dei compiti e la ricertificazione periodica degli accessi. In termini di sicurezza, trasforma una relazione con un fornitore in un perimetro amministrativo controllato.
Questo è importante perché i contractor spesso gestiscono attività privilegiate come patching, supporto o amministrazione di sistema. Se la governance è debole, un attaccante può abusare di autorizzazioni eccessive, account obsoleti o responsabilità poco chiare per muoversi attraverso sistemi affidabili senza essere rilevato immediatamente. Una solida governance dei contractor riduce questo rischio limitando l'accesso privilegiato, richiedendo una responsabilità nominativa per ciascuna attività e verificando le azioni dopo che le modifiche sono state apportate. Nelle difese reali, si manifesta come accesso just-in-time, credenziali a tempo limitato, attività amministrativa supervisionata e rapido offboarding alla fine del lavoro.