Un contratto misto è un accordo che raggruppa più servizi, ambiti o modelli di erogazione all'interno di un unico rapporto con un fornitore. Per esempio, un solo contratto può coprire contemporaneamente hosting cloud, supporto software e retainer per la risposta agli incidenti. Poiché ogni servizio può comportare un rischio di sicurezza diverso, un unico insieme di controlli è spesso troppo ampio o troppo debole. I difensori devono separare gli obblighi per linea di servizio, sensibilità dei dati e criticità per il business.
Nella sicurezza informatica, i contratti misti contano perché influenzano il modo in cui le organizzazioni applicano controlli proporzionati. Un fornitore che offre solo supporto a basso rischio può richiedere meno requisiti rispetto a uno che gestisce identità, backup o sistemi operativi. Anche gli attaccanti traggono vantaggio dagli ambienti misti: un ambito debole può diventare una via d'accesso verso uno più solido se accessi, registrazione degli eventi o segmentazione sono definiti male. Una buona difesa tratta il contratto come una prova, non solo come burocrazia, con clausole esplicite per segnalazione, monitoraggio, subfornitori, continuità e opzioni di uscita adattate a ciascun servizio.