Il ciclo di approvvigionamento è l'intero processo di acquisto: definizione dei requisiti, valutazione dei fornitori, assegnazione del contratto, gestione della consegna e rinnovo o sostituzione del servizio. Nel settore della cybersecurity, è importante perché molti rischi vengono determinati prima che un prodotto venga distribuito. Le funzionalità di sicurezza, gli obblighi di patching, i termini di supporto, la gestione dei dati e i diritti di audit possono tutti essere fissati nel contratto, influenzando la resilienza del sistema finale.
Gli aggressori spesso sfruttano indirettamente scelte di approvvigionamento deboli, come impostazioni predefinite insicure, scarso supporto agli aggiornamenti o terze parti non verificate. I difensori usano il ciclo di approvvigionamento per ridurre questa esposizione richiedendo prove di sicurezza, confrontando i fornitori in base a criteri di rischio e includendo la manutenzione e la risposta agli incidenti nella gestione continua del contratto. In settori come la sanità, questo può essere fondamentale: la decisione di acquisto può influire sia sulla protezione dei dati sia sulla continuità del servizio per anni dopo l'acquisto.