La garanzia della supply chain è l'insieme di controlli di sicurezza, regole di governance e passaggi di convalida utilizzati per ridurre il rischio derivante da fornitori, produttori di software, produttori di hardware e fornitori di servizi. Include la revisione della postura di sicurezza del fornitore, la verifica della provenienza del codice e del firmware, il controllo dei canali di aggiornamento e la richiesta di controlli come build firmate, pratiche di sviluppo sicuro e gestione trasparente delle dipendenze.
È importante perché i sistemi moderni dipendono da molti terzi. Se un aggressore compromette un fornitore, può raggiungere molti obiettivi a valle attraverso aggiornamenti software fidati, librerie infette, hardware contraffatto o accessi di manutenzione abusati. I difensori utilizzano la garanzia della supply chain per rendere visibili questi percorsi di fiducia e più difficili da sfruttare. In pratica, questo può includere valutazioni del rischio dei fornitori, revisioni della distinta dei materiali, firma del codice, convalida delle patch, segmentazione dell'accesso dei fornitori e monitoraggio continuo. Una buona garanzia non elimina il rischio, ma riduce la probabilità che un componente fidato diventi un punto di ingresso nascosto.