Un contratto di servizi gestiti è un accordo che esternalizza a un fornitore terzo funzioni IT o aziendali definite. Esempi comuni includono supporto help desk, applicazione di patch, operazioni di backup, monitoraggio della rete e monitoraggio della sicurezza. Il contratto dovrebbe definire l'ambito, i livelli di servizio, la gestione dei dati, i diritti di accesso e le responsabilità per l'escalation e il ripristino.
Nella sicurezza informatica, questi contratti sono importanti perché spostano lavori critici al di fuori del controllo diretto dell'organizzazione. Possono migliorare la copertura e apportare competenze specialistiche, ma creano anche un confine di fiducia e una dipendenza dagli strumenti, dal personale e dai processi del fornitore. Contratti deboli spesso lasciano lacune nella registrazione dei log, nella risposta agli incidenti, nel trasferimento delle conoscenze o nell'offboarding, il che può rallentare il contenimento dopo una violazione. Gli aggressori possono abusare di un accesso dei fornitori gestito male o di credenziali ereditate, mentre i difensori usano contratti ben redatti per applicare il privilegio minimo, l'auditabilità e una chiara titolarità del ripristino.