Il rischio di nth-party è il rischio di sicurezza che non deriva dal tuo fornitore diretto, ma dai fornitori di quel fornitore e dai venditori che stanno dietro di loro. In pratica, descrive catene di dipendenza nascoste: un fornitore SaaS può fare affidamento su un host cloud, su uno sviluppatore esternalizzato o su un manutentore di pacchetti open source con cui non hai alcun contratto diretto. Questo è importante perché un anello debole più lontano nella catena può comunque influire sui tuoi dati, sulla disponibilità o sull'integrità del software, anche quando il tuo fornitore sembra essere ben controllato.
Gli attaccanti spesso sfruttano questo livello compromettendo un servizio gestito, una pipeline di build, una libreria o un subappaltatore per raggiungere contemporaneamente molti clienti a valle. I difensori riducono il rischio di nth-party mappando le dipendenze critiche, chiedendo ai fornitori informazioni sui loro fornitori, esaminando gli SBOM e i servizi ospitati e monitorando i cambiamenti nella postura di terze parti. In altre parole, la gestione del rischio del fornitore diretto non basta se l'esposizione reale si trova due o tre passaggi più lontano.