世界が重要だと見なしているサプライチェーンに何が求められているかを考えてみます。医薬品の製造業者は、販売するあらゆる原料について、出所、組成、試験の履歴を文書化します。航空機の製造業者は、取り付けるあらゆる構成部品の認証履歴をたどり、その記録を機体の寿命が尽きるまで保管します。食品の生産者は、原料がどこで育てられ、加工され、輸送されたかを示さなければならず、汚染の事案が起きてから数時間以内にその記録を提出しなければなりません。規制当局は記録を監査し、施設を検査し、文書が耐えられないときには不利益を課します。

次に、デジタルサプライチェーンの上に構築している組織に何が求められているかを考えてみます。サードパーティーのスクリプトを組み込むチームは、通常、それがどこから来たのか、誰が書いたのか、何を伴っているのかを文書化することを求められません。コンテンツ配信の統合を追加する企業は、そのプロバイダーが配信するものが何かに照らして検証されていることを示すよう求められません。制御システムの前にブラウザーを基盤とするインターフェースを置く運用者は、接続する前にそのインターフェースが何を読み込むのかを地図にするよう求められません。ほとんどの組織にとって、ほとんどの法域で、このサプライチェーンのほとんどの範囲について、組み込まれ実行されるものを文書化し、監査し、検証し、監視する義務は存在しません。

これは誰かの不注意ではありません。体系的な保護を可能にするはずだった枠組みは構成要素を前提に書かれており、これは組立品の問題です。個々の部品を守るための高度な道具は存在します。チェーンを全体として見るための道具は、ほとんど存在しません。

デジタルサプライチェーンは一つのチェーンではありません。同時に動いている8つの層です。ネットワークとインフラ、ソフトウェアとファームウェア、ハードウェアと機器、サービスと開発キット、コードとライブラリ、データとモデル、リソースとファイル、そしてそれらすべてが収束して人が実際に目にするものになるインターフェースです。

解説では、各層が何をもたらすのか、それについてどんな証拠があるのか、そしてエクスポージャーが各層の脆弱性の総和ではなく層のあいだの経路の集合である理由を扱います。

構成要素は、コードを1行も変えずに所有者を変えることができます。ドメインは同じように解決され、スクリプトは同じハッシュを持ち、通信は同一です。実際に同一なのですから。変わったのは、その構成要素が次に何をするのかを決めるのが誰かということであり、そのどれもキャプチャーには現れません。

解説では、支配が実際に移る4つの経路、移転から誰かが気づくまでの期間、日付を伴う6件の記録された事例、そしてそれらを捉えたはずの監視が、ネットワーク上ではなく登記、届出、コードリポジトリの記録のなかにある理由を扱います。

部品表、ビルドの証明、悪用可能性の表明、内部統制報告書、ブラウザーの方針、態勢のスコア、攻撃対象領域の発見、そして実質的支配の審査です。9つの分類について、それぞれが何を立証するのか、そしてどの地点で止まるのかを正確に示します。

解説では、この手法が何を加えるのかを明確に述べます。外部からの発見が終わる地点と、所有の解明が始まる地点との間にある一歩です。また、この作業が依拠する4つの用語を定義し、開示されていないプロバイダーが通常は隠されたプロバイダーではない理由を説明します。

キャプチャー、名寄せ、帰属、突合を、証拠が浮かび上がらせるすべてのプロバイダーに適用し、その下の階層に対して繰り返します。ベンダーの一覧は決定を記録し、アプリケーションは挙動を記録します。そして両者は、契約が結ばれた日から離れていきます。

解説では、一巡の全工程、それが走る観測と帰属の2つの軸、ホストをどのように企業へ名寄せするのか、それができないときに何が起きるのか、そして成果物に何が含まれるのかを扱います。