この製品は複数の独立したコンポーネントから構築されているが、セキュリティ、信頼性、更新性、保守性などの期待に応えるには十分な信頼性を備えていないコンポーネントを使用している。
最近のハードウェアやソフトウェア製品の多くは、設計やアーキテクチャの段階で、複数の小さなコンポーネントを1つの大きなエンティティに組み合わせることによって構築されることが多い。例えば、ハードウェア・コンポーネントは別のサプライヤーによって作られるかもしれないし、製品はサードパーティーのオープンソース・ソフトウェア・ライブラリを使うかもしれない。
ソースの如何に関わらず、各コンポーネントは、製品の正確で安全な動作を保証するために、十分に信頼されるべきである。コンポーネントが信頼できない場合、製品全体に重大なリスクをもたらす可能性があります。例えば、（たとえあったとしても）十分な速さでパッチを適用できない脆弱性、マルウェアのような隠れた機能性、セキュリティ上必要な場合にコンポーネントを更新または交換できないこと、弱点につながる可能性のある方法で仕様を満たさない部品から作られたハードウェアコンポーネントなどです。ソースコードが失われ、その会社を去った開発者によって作られたソフトウェア・コンポーネントや、別の会社によって開発されたコンポーネントが買収され、その製品の会社に持ち込まれた場合など、製品ベンダーが所有しているコンポーネントであっても信頼できない場合があることに注意してください。
信頼は最終的には主観的なものであるため、コンポーネントが十分に信頼できるかどうかについては意見が分かれる可能性があることに注意してください。さまざまな利害関係者（例えば、顧客、ベンダー、政府）が、さまざまな脅威モデルや信頼の評価方法を持ち、設計／アーキテクチャの選択は、セキュリティ、信頼性、安全性、プライバシー、コスト、その他の特性の間でトレードオフを行うかもしれない。
The product is built from multiple separate components, but it uses a component that is not sufficiently trusted to meet expectations for security, reliability, updateability, and maintainability.
Many modern hardware and software products are built by combining multiple smaller components together into one larger entity, often during the design or architecture phase. For example, a hardware component might be built by a separate supplier, or the product might use an open-source software library from a third party.
Regardless of the source, each component should be sufficiently trusted to ensure correct, secure operation of the product. If a component is not trustworthy, it can produce significant risks for the overall product, such as vulnerabilities that cannot be patched fast enough (if at all); hidden functionality such as malware; inability to update or replace the component if needed for security purposes; hardware components built from parts that do not meet specifications in ways that can lead to weaknesses; etc. Note that a component might not be trustworthy even if it is owned by the product vendor, such as a software component whose source code is lost and was built by developers who left the company, or a component that was developed by a separate company that was acquired and brought into the product's own company.
Note that there can be disagreement as to whether a component is sufficiently trustworthy, since trust is ultimately subjective. Different stakeholders (e.g., customers, vendors, governments) have various threat models and ways to assess trust, and design/architecture choices might make tradeoffs between security, reliability, safety, privacy, cost, and other characteristics.