O que a expressão cobre
Cadeia de suprimentos digital é o conjunto de código e serviço de terceiros que a organização embute nos próprios ativos: script de analytics, biblioteca servida por CDN, widget de atendimento, pixel de marketing, API que a página chama para funcionar.
A diferença para risco de fornecedor comum está em onde a coisa executa. Um fornecedor de nuvem opera na infraestrutura dele. Um script de terceiro opera dentro da sua página, no navegador do seu cliente, com a sua marca na barra de endereço.
Por que ela é difícil de enxergar
Ninguém aprova essa cadeia de uma vez.
Marketing adiciona um pixel para medir campanha. Produto adiciona uma biblioteca para resolver formatação de data. Um time integra um chat porque o suporte pediu. Cada decisão passou pelo processo que existia para ela, e nenhuma passou por um inventário do conjunto.
O agravante é a profundidade. O script que você aprovou carrega outro script, que carrega um terceiro. A árvore cresce para baixo e a organização enxerga só o primeiro nível, que foi o que alguém escreveu na tag.
O que acontece quando um elo é comprometido
O comprometimento não precisa tocar a sua infraestrutura.
Quem controla o domínio que serve aquele arquivo controla o que roda na sua página. O visitante recebe o código malicioso do seu site, com o seu certificado, e nenhum registro do seu servidor mostra nada de anormal, porque o servidor entregou exatamente o que sempre entregou.
O caso Polyfill.io é o exemplar do padrão: uma biblioteca amplamente adotada muda de dono, o novo dono altera o que o arquivo entrega, e milhões de sites passam a servir aquilo sem nenhuma mudança do lado deles. O caso está descrito em detalhe.
Como se inventaria
De fora, olhando o que a própria página carrega quando abre.
Essa é a única forma de pegar a árvore inteira, porque ela se monta em tempo de execução e não aparece em nenhum repositório de código. O que o navegador busca é o inventário real, e ele muda quando um terceiro decide mudar.
O primeiro levantamento costuma surpreender pelo tamanho. É comum encontrar dezenas de domínios de terceiros sendo contactados por uma página que a empresa considerava simples.
O que fazer com a lista
Remover o que não serve mais é o movimento de maior retorno, e há sempre bastante. Pixel de campanha encerrada, biblioteca de uma funcionalidade que saiu do ar, tag de ferramenta que a empresa deixou de usar.
Para o que fica, dois controles reduzem o dano sem exigir confiança no terceiro: fixar a versão em vez de apontar para a mais recente, e verificar integridade do arquivo no carregamento.
Isso é diferente de gestão de risco de terceiros, que trata da postura da organização fornecedora. Aqui o objeto é o artefato que executa dentro do seu ativo, e ele entra em cena sem contrato assinado.