Kijk eens wat er wordt gevraagd van de toeleveringsketens die de wereld als vitaal beschouwt. Een geneesmiddelenfabrikant legt de herkomst, samenstelling en testgeschiedenis vast van elk ingrediënt dat hij verkoopt. Een vliegtuigbouwer volgt de certificeringsgeschiedenis van elk onderdeel dat hij inbouwt en bewaart die gegevens zolang het vliegtuig bestaat. Een voedselproducent moet aantonen waar een ingrediënt is gegroeid, verwerkt en vervoerd, en moet die vastlegging binnen enkele uren na een besmetting kunnen overleggen. Toezichthouders controleren de vastlegging, inspecteren de locaties en verbinden gevolgen aan documentatie die niet standhoudt.

Kijk nu wat er wordt gevraagd van de organisaties die op de digitale toeleveringsketen bouwen. Van een team dat een script van derden integreert wordt in het algemeen niet gevraagd vast te leggen waar dat vandaan komt, wie het heeft geschreven of wat het meebrengt. Van een bedrijf dat een contentdistributie-integratie toevoegt wordt niet gevraagd aan te tonen dat wat die aanbieder levert ergens tegen is geverifieerd. Van een beheerder die een browserinterface voor een besturingssysteem zet wordt niet gevraagd in kaart te brengen wat die interface laadt voordat die wordt aangesloten. Voor de meeste organisaties, in de meeste jurisdicties, over het grootste deel van deze toeleveringsketen bestaat geen verplichting om vast te leggen, te controleren, te verifiëren of te monitoren wat er wordt geïntegreerd en uitgevoerd.

Dat is niemand kwalijk te nemen. De kaders die stelselmatige bescherming mogelijk zouden maken zijn geschreven voor onderdelen, en dit is een vraagstuk van samenstellingen. Voor het beschermen van afzonderlijke onderdelen bestaan geraffineerde hulpmiddelen. Voor het zien van de keten als geheel bestaat bijna niets.

De digitale toeleveringsketen is niet één keten. Het zijn acht lagen die tegelijk werken: netwerken en infrastructuur, software en firmware, hardware en apparaten, diensten en ontwikkelkits, code en bibliotheken, gegevens en modellen, resources en bestanden, en de interface waar ze allemaal samenkomen in wat iemand werkelijk ziet.

De uitwerking behandelt wat elke laag bijdraagt, welk bewijs daarvoor bestaat, en waarom de blootstelling niet de som is van de kwetsbaarheden in elke laag maar het geheel van de paden ertussen.

Een onderdeel kan van eigenaar wisselen zonder dat er één regel code verandert. Het domein wordt op dezelfde manier herleid, het script heeft dezelfde hash, en het verkeer is identiek omdat het identiek is. Wat is veranderd is wie bepaalt wat dat onderdeel hierna doet, en daarvan is niets te zien in een opname.

De uitwerking behandelt de vier manieren waarop zeggenschap werkelijk verschuift, het interval tussen een overdracht en het moment dat iemand het merkt, zes gedocumenteerde gevallen met de data, en waarom de monitoring die ze zou hebben onderkend in registers, verslaglegging en gegevens van repository's zit en niet op het netwerk.

Componentenlijsten, buildverklaringen, uitspraken over misbruikbaarheid, rapporten over maatregelen, browserbeleid, positiescores, het opsporen van het aanvalsoppervlak en screening op uiteindelijk eigendom. Negen categorieën, wat elk daarvan vaststelt, en het precieze punt waar elk stopt.

De uitwerking benoemt onomwonden wat deze methode toevoegt: de stap tussen het punt waar externe verkenning eindigt en het punt waar het vaststellen van eigendom begint. Ze omschrijft ook de vier termen waarop het werk rust, en legt uit waarom een niet-gemelde aanbieder meestal geen verborgen gehouden aanbieder is.

Opname, resolutie, toeschrijving en afstemming, toegepast op elke aanbieder die het bewijs naar boven brengt en herhaald op de lagen daaronder. Een leverancierslijst legt besluiten vast; een applicatie legt gedrag vast, en die twee lopen uiteen vanaf de dag dat het contract wordt ondertekend.

De uitwerking behandelt de volledige cyclus, de assen van observatie en toeschrijving waarlangs die loopt, hoe een host wordt herleid tot een bedrijf en wat er gebeurt wanneer dat niet lukt, en wat het eindproduct bevat.