Infrastructure as a Service (IaaS) dostarcza podstawowe zasoby obliczeniowe; Platform as a Service (PaaS) dostarcza środowisko do wdrażania aplikacji klienta; a Software as a Service (SaaS) dostarcza aplikacje prowadzone przez dostawcę, do których klienci uzyskują dostęp przez klienta lub interfejs programowy.
Według definicji National Institute of Standards and Technology klienci zachowują coraz mniejszą kontrolę nad infrastrukturą bazową w kolejności od IaaS przez PaaS do SaaS. Dokładne granice usług różnią się między ofertami i umowami, więc zespoły bezpieczeństwa muszą odwzorować odpowiedzialność za tożsamości, dane, konfigurację, kod, systemy operacyjne, sieci, monitorowanie, odtwarzanie i obsługę incydentów, zamiast polegać na samej etykiecie.
Najważniejsze punkty
IaaSDostawca obsługuje infrastrukturę fizyczną i wirtualizację, podczas gdy klient zwykle zarządza systemami-gośćmi, aplikacjami, tożsamościami, danymi i znaczną częścią konfiguracji sieci wirtualnej.
PaaSDostawca zarządza dodatkowo platformą hostingu aplikacji; klient kontroluje wdrożone aplikacje, dane, tożsamości i dozwoloną konfigurację platformy.
SaaSDostawca prowadzi aplikację i warstwę bazową; klient zachowuje odpowiedzialność za użytkowników, dane, dozwolone użycie, dostępną konfigurację tenanta, integracje, punkty końcowe i wymagania umowne.
Istotne ograniczeniePrzejście „wyżej" w stosie usług nie zmniejsza automatycznie całkowitego ryzyka ani nie przenosi rozliczalności. Awarie dostawcy, niebezpieczne ustawienia domyślne, nadmierne uprawnienia klienta, niebezpieczne integracje, obsługa danych, koncentracja i niejasne umowy mogą dotknąć każdy model.