La deriva del fornitore è il cambiamento graduale, nel tempo, della postura di sicurezza, dei controlli o dell’esposizione di un fornitore. Un fornitore può soddisfare i requisiti durante la fase di onboarding e, in seguito, introdurre una vulnerabilità, modificare i propri servizi o cambiare il modo in cui protegge i dati. Il termine descrive questo rischio in evoluzione, non necessariamente un singolo incidente di sicurezza.
È importante perché un questionario o una valutazione fotografa solo un momento specifico. Gli aggressori possono sfruttare sistemi o punti deboli di recente esposizione presso un fornitore per raggiungere i suoi clienti o i loro dati. I responsabili della difesa usano il monitoraggio continuo, rivalutazioni periodiche e avvisi relativi a cambiamenti significativi per individuare la deriva e decidere se indagare, modificare gli accessi o riconsiderare il rapporto commerciale. I segnali di monitoraggio vanno valutati nel loro contesto: le valutazioni esterne possono aiutare a stabilire le priorità, ma non sostituiscono le prove dirette o il giudizio umano.