La capacità esternalizzata è una funzione, una competenza o un'attività operativa che un'organizzazione ha affidato a un fornitore esterno. Questo può includere l'amministrazione di sistema, il monitoraggio della sicurezza, lo sviluppo software, la risposta agli incidenti o conoscenze specialistiche di ingegneria. Il rischio non è l'esternalizzazione in sé, ma la perdita della comprensione interna necessaria per supervisionare, sostituire o verificare il lavoro.
Nella sicurezza informatica, la capacità esternalizzata è importante perché gli attaccanti spesso sfruttano una supervisione debole dei terzi, responsabilità poco chiare o dipendenze nascoste. Se le conoscenze critiche lasciano l'organizzazione, i difensori possono avere difficoltà a individuare configurazioni errate, convalidare i controlli o ripristinare i servizi quando un fornitore cambia o fallisce. Una difesa solida significa mantenere in sede una competenza sufficiente per rivedere il comportamento del fornitore, contestare le ipotesi e ricostruire le funzioni essenziali se necessario. Un'organizzazione resiliente considera il lavoro esternalizzato come supportato dal controllo interno, non come suo sostituto.