Una piattaforma gestita da terzi è un sistema operato da un fornitore esterno invece che dall'organizzazione che possiede i dati. Il fornitore può occuparsi di hosting, patching, backup, monitoraggio o amministrazione dell'applicazione, mentre il cliente conserva i dati aziendali e gli obblighi di sicurezza.
Questa configurazione è importante perché modifica il modo in cui viene controllato il rischio. Vulnerabilità, configurazioni errate e aggiornamenti mancati possono verificarsi nell'ambiente del fornitore anche quando il cliente possiede le informazioni. Negli attacchi reali, gli attori malevoli spesso prendono di mira le piattaforme gestite perché un singolo processo di patching debole o il controllo di un account può esporre molti tenant o record sensibili in una sola volta. In difesa, le domande chiave sono chi è responsabile del patching, come vengono verificate le modifiche e con quale rapidità il cliente viene informato quando la remediation fallisce. Contratti chiari, logging, revisioni degli accessi e verifica delle patch aiutano a colmare il divario di responsabilità che le operazioni esternalizzate possono creare.