Un sistema di controllo di terze parti è un ambiente operativo, o una sua parte, gestito o supportato da un'organizzazione esterna. Nelle infrastrutture critiche, può includere software, apparecchiature o servizi remoti gestiti da fornitori e utilizzati per monitorare o controllare gli asset. Il proprietario dell'asset può comunque essere responsabile di garantire che il sistema sia sicuro e conforme alle normative.
Il coinvolgimento di soggetti esterni può complicare il controllo degli accessi, la segmentazione della rete, la registrazione degli eventi, l'applicazione delle patch e la risposta agli incidenti. Gli aggressori possono sfruttare accessi dei fornitori poco protetti o componenti sottoposti a manutenzione inadeguata per raggiungere la tecnologia operativa; i difensori riducono questo rischio documentando la proprietà e i percorsi di accesso, limitando e monitorando le connessioni remote, coordinando le responsabilità di manutenzione e risposta e verificando che i controlli di sicurezza rimangano efficaci. Una chiara attribuzione delle responsabilità aiuta gli operatori a dimostrare la conformità e a reagire rapidamente quando un sistema gestito da un partner diventa vulnerabile.