Katso mitä vaaditaan niiltä toimitusketjuilta, joita maailma pitää kriittisinä. Lääkevalmistaja dokumentoi jokaisen myymänsä aineosan alkuperän, koostumuksen ja testihistorian. Lentokonevalmistaja jäljittää jokaisen asentamansa osan sertifiointihistorian ja säilyttää nuo tiedot koko lentokoneen rungon eliniän. Elintarviketuottajan on osoitettava, missä aineosa on kasvatettu, jalostettu ja kuljetettu, ja tuotettava tuo tieto tuntien kuluessa saastumistapahtumasta. Valvojat auditoivat tiedot, tarkastavat tuotantolaitokset ja määräävät seuraamuksia kun dokumentaatio ei kestä.

Katso nyt mitä vaaditaan niiltä organisaatioilta, jotka rakentavat digitaalisen toimitusketjun varaan. Tiimiltä, joka integroi kolmannen osapuolen skriptin, ei yleensä vaadita dokumentointia siitä mistä se tuli, kuka sen kirjoitti tai mitä se kantaa mukanaan. Yritykseltä, joka lisää sisällönjakeluintegraation, ei vaadita osoitusta siitä, että tuon toimittajan toimittama olisi varmennettu mitään vasten. Toimijalta, joka asettaa selainpohjaisen käyttöliittymän ohjausjärjestelmän eteen, ei vaadita sen kartoittamista, mitä tuo käyttöliittymä lataa, ennen sen kytkemistä. Useimmille organisaatioille, useimmilla lainkäyttöalueilla, suurimmassa osassa tätä toimitusketjua ei ole mitään velvoitetta dokumentoida, auditoida, varmentaa tai valvoa sitä, mitä integroidaan ja ajetaan.

Tämä ei ole kenenkään huolimattomuutta. Ne kehikot, jotka tekisivät järjestelmällisen suojaamisen mahdolliseksi, kirjoitettiin osia varten, ja tämä on koosteiden ongelma. Yksittäisten osien suojaamiseen on kehittyneitä työkaluja. Ketjun näkemiseen kokonaisuutena on hyvin vähän.

Digitaalinen toimitusketju ei ole yksi ketju. Se on kahdeksan kerrosta, jotka toimivat yhtä aikaa: verkot ja infrastruktuuri, ohjelmistot ja laiteohjelmistot, laitteet, palvelut ja kehityspaketit, koodi ja kirjastot, data ja mallit, resurssit ja tiedostot, sekä käyttöliittymä, jossa ne kaikki yhtyvät siksi, mitä ihminen todella näkee.

Kuvaus kattaa sen, mitä kukin kerros tuo mukanaan, mitä näyttöä siitä on ja miksi altistuminen ei ole kunkin kerroksen haavoittuvuuksien summa vaan niiden välisten reittien joukko.

Osa voi vaihtaa omistajaa ilman, että yksikään koodirivi muuttuu. Verkkotunnus selviää samalla tavalla, skriptillä on sama tiiviste ja liikenne on identtistä, koska se on identtistä. Se, mikä muuttui, on se, kuka päättää, mitä tuo osa tekee seuraavaksi, eikä mikään siitä näy kaappauksessa.

Kuvaus kattaa neljä tapaa, joilla määräysvalta todella liikkuu, aikavälin siirron ja sen huomaamisen välillä, kuusi dokumentoitua tapausta päivämäärineen, ja sen, miksi valvonta, joka olisi ne havainnut, on rekistereissä, ilmoituksissa ja koodivarastojen tiedoissa eikä verkossa.

Ohjelmistoluettelot, käännösvakuutukset, hyödynnettävyyslausunnot, kontrolliraportit, selainkäytännöt, turvallisuustason pisteytykset, hyökkäyspinnan tunnistus ja tosiasiallisen omistajuuden seulonta. Yhdeksän luokkaa, mitä kukin osoittaa ja missä kohdassa kukin täsmälleen pysähtyy.

Kuvaus toteaa selvästi, mitä tämä menetelmä lisää: askeleen sen välillä, mihin ulkoinen tunnistus päättyy ja mistä omistuksen selvittäminen alkaa. Se myös määrittelee neljä termiä, joiden varassa työ on, ja selittää, miksi ilmoittamaton toimittaja ei yleensä ole salattu.

Kaappaus, selvitys, attribuutio ja täsmäytys, sovellettuina jokaiseen toimittajaan, jonka näyttö nostaa esiin, ja toistettuina niiden alla oleviin tasoihin. Toimittajalista kirjaa päätöksiä; sovellus kirjaa käyttäytymistä, ja nämä kaksi erkanevat sopimuksen allekirjoituspäivästä alkaen.

Kuvaus kattaa koko kierron, havainnoinnin ja attribuution akselit, joita pitkin se kulkee, sen, miten palvelin selvitetään yritykseksi, ja mitä tapahtuu, kun sitä ei voi selvittää, sekä sen, mitä työn tulos sisältää.