Un elenco dei fornitori approvati è un registro controllato di servizi esterni, fornitori e API che un'organizzazione ha esaminato e autorizzato all'uso. Funziona come un filtro di sicurezza e approvvigionamento: i team possono adottare solo strumenti che soddisfano i requisiti per la gestione dei dati, il controllo degli accessi, la registrazione, la conservazione e la supportabilità. Nella sicurezza informatica, questo è importante perché i servizi di terze parti possono ampliare la superficie di attacco anche quando il software non è installato localmente.
I difensori utilizzano gli elenchi dei fornitori approvati per ridurre il shadow IT, limitare l'esposizione dei dati e applicare controlli coerenti sui fornitori. In pratica, un servizio non dovrebbe essere aggiunto finché il team di sicurezza non ne ha valutato le autorizzazioni, i punti di integrazione e i rischi del ciclo di vita. Gli aggressori spesso traggono vantaggio quando i team aggirano questo controllo e collegano servizi non verificati a flussi di lavoro sensibili, perché controlli deboli sui fornitori o un accesso alle API poco chiaro possono creare opportunità di abuso, divulgazione o interruzione. Un elenco dei fornitori approvati ben mantenuto aiuta a rendere visibili e gestibili le dipendenze esterne.