ICT-SCRM significa Information and Communications Technology Supply Chain Risk Management. È la disciplina di identificare, valutare e ridurre il rischio lungo l'intero ciclo di vita dei prodotti e dei servizi tecnologici, inclusi hardware, software, piattaforme cloud, aggiornamenti e i fornitori che li supportano. In pratica, ICT-SCRM non si chiede solo se uno strumento funziona, ma chi lo fornisce, come è costruito, come viene aggiornato e quali dipendenze introduce in un ambiente attendibile.
Questo è importante nella sicurezza informatica perché gli aggressori spesso prendono di mira la supply chain invece dell'endpoint. Un fornitore compromesso, un aggiornamento dannoso, un plugin non sicuro o un servizio non verificato possono aggirare le normali difese e raggiungere molti sistemi contemporaneamente. I difensori usano ICT-SCRM per supportare le revisioni degli acquisti, le liste consentite, la due diligence sui fornitori, la registrazione degli eventi e le decisioni di policy su ciò che può essere eseguito sui dispositivi gestiti. In ambienti sensibili, persino un servizio di IA può essere limitato se la sua provenienza, il percorso di aggiornamento o la gestione dei dati non possono essere verificati in modo sufficiente.