Infrastructure as a Service (IaaS) furnizează resurse fundamentale de calcul; Platform as a Service (PaaS) furnizează un mediu pentru implementarea aplicațiilor clientului; iar Software as a Service (SaaS) furnizează aplicații operate de furnizor, pe care clienții le accesează printr-un client sau o interfață de programare.
În definiția National Institute of Standards and Technology, clienții păstrează progresiv mai puțin control asupra infrastructurii subiacente de la IaaS la PaaS la SaaS. Frontierele exacte ale serviciilor variază în funcție de ofertă și contract, așa că echipele de securitate trebuie să mapeze responsabilitățile pentru identități, date, configurație, cod, sisteme de operare, rețele, monitorizare, recuperare și tratarea incidentelor, în loc să se bazeze pe etichetă.
Puncte esențiale
IaaSFurnizorul operează infrastructura fizică și virtualizarea, în timp ce clientul gestionează în mod obișnuit sistemele guest, aplicațiile, identitățile, datele și o mare parte din configurația rețelei virtuale.
PaaSFurnizorul gestionează și platforma de găzduire a aplicațiilor; clientul controlează aplicațiile implementate, datele, identitățile și configurația de platformă permisă.
SaaSFurnizorul rulează aplicația și stiva subiacentă; clientul păstrează responsabilități pentru utilizatori, date, utilizarea permisă, configurația de tenant disponibilă, integrări, endpointuri și cerințe contractuale.
Limitare importantăUrcarea „în sus” pe stiva de servicii nu reduce automat riscul total și nu transferă responsabilitatea. Defecțiunile furnizorului, valorile implicite nesigure, permisiunile excesive ale clientului, integrările nesigure, tratarea datelor, concentrarea și contractele neclare pot afecta fiecare model.