Un fornitore di livello inferiore è un'azienda che rifornisce il tuo vendor diretto invece di rifornire direttamente te. Nella sicurezza informatica, questo è importante perché la tua postura di sicurezza può dipendere da organizzazioni con cui non hai un contratto, che non auditi o di cui persino non sai l'esistenza. Un vendor diretto può sembrare conforme, ma può comunque affidarsi a subappaltatori per lo sviluppo software, l'hosting cloud, componenti hardware, la manutenzione o il supporto.
Gli aggressori spesso sfruttano questi collegamenti nascosti. Se un fornitore di livello inferiore viene compromesso, codice malevolo, credenziali rubate o componenti manomessi possono fluire a monte in un prodotto o servizio considerato affidabile. I difensori riducono questo rischio mappando le dipendenze dei fornitori, richiedendo la divulgazione dei subappaltatori critici, aggiungendo clausole di notifica degli incidenti e di garanzia della sicurezza, e rivalutando i vendor quando la loro catena di fornitura cambia. La visibilità sui fornitori di livello inferiore trasforma la sicurezza della supply chain da esercizio burocratico a controllo pratico.