この表には、製品に関する詳細情報（所在地、シャーシメーカー、OS、アプリケーション開発者、ベンダーなど）が表示されます。この種の情報は通常、サプライチェーン評価において、異なるサプライヤーのコンポーネントやサービスのセキュリティと信頼性を評価する際に使用されます。
サプライチェーン評価を行う理由
コンポーネント評価: ハードウェア、ソフトウェア、サードパーティのサービスなど、製品で使用される各コンポーネントの出所とセキュリティを評価します。
ベンダーの信頼性: コンポーネントまたはサービスの提供に関与するベンダーのセキュリティ慣行と信頼性を評価します。
リスク管理: サードパーティ コンポーネントの脆弱性や安全でない開発手法など、サプライ チェーンに関連する潜在的なリスクを特定します。
その他の種類の評価は、提供された詳細なサプライヤーおよびコンポーネント情報と一致しません。
A). システム: 広範なサプライ チェーンではなく、個々のシステムのセキュリティに重点を置きます。
C). 定量的: サプライヤー情報ではなく、数値的なリスク評価に焦点を当てます。
D). 組織: 外部サプライヤーではなく、内部の組織慣行に焦点を当てます。
参考文献:
CompTIA SecurityX 学習ガイド
NIST特別出版物800-161「連邦情報システムおよび組織のためのサプライチェーンリスク管理実務」
「サプライチェーンセキュリティのベストプラクティス」、ガートナーリサーチ