Dostawca prowadzi aplikację i platformę bazową, podczas gdy klient kontroluje ustawienia tenanta, dostęp użytkowników, udostępnianie danych, połączone aplikacje oraz aspekty retencji i monitorowania. Dokładne obowiązki zależą od usługi i umowy.
Termin obejmuje perspektywę dostawcy i klienta; ta definicja podkreśla użycie przez klienta. Przy niewielkim dostępie do systemów bazowych klienci zależą od zapewnień dostawcy, obsługiwanych ustawień, danych audytowych, koordynacji incydentowej, przenośności i ustaleń wyjściowych.
Najważniejsze punkty
Zarządzanie usługąZatwierdzaj usługi i przypadki użycia, klasyfikuj dozwolone dane, oceniaj obowiązki dostawcy i podprocesorów, przypisuj właściciela oraz utrzymuj decyzje o odnowieniu i wyjściu.
Tożsamość i konfiguracjaFederuj uwierzytelnianie tam, gdzie właściwe, wymuszaj silną administrację i minimalne uprawnienia, zarządzaj udostępnianiem i dostępem gości, przeglądaj ustawienia domyślne oraz chroń konta odzyskiwania i awaryjne.
Dane i integracjeKontroluj zgody aplikacji, tokeny API, automatyzację, importy, eksporty, retencję, usuwanie i kopie zapasowe; zbieraj użyteczne zdarzenia bez zakładania, że dostawca rejestruje każdą istotną czynność.
Istotne ograniczenieBezpieczny dostawca nie sprawia, że uprawnienia, udostępnianie, integracje, punkty końcowe ani obsługa danych tenanta są bezpieczne, a staranna konfiguracja tenanta nie może usunąć ryzyka kompromitacji lub awarii dostawcy. API SaaS, logi, opcje szyfrowania, opcje odtwarzania i kontrole administracyjne mogą być też ograniczone przez usługę lub poziom subskrypcji.