Infrastructure as a Service (IaaS) dodáva fundamentálne výpočtové prostriedky; Platform as a Service (PaaS) dodáva prostredie na nasadzovanie zákazníckych aplikácií; a Software as a Service (SaaS) dodáva aplikácie prevádzkované poskytovateľom, ku ktorým zákazníci pristupujú cez klienta alebo programové rozhranie.
Podľa definície National Institute of Standards and Technology zákazníci postupne strácajú kontrolu nad podkladovou infraštruktúrou od IaaS cez PaaS po SaaS. Presné hranice služieb sa líšia podľa ponuky a zmluvy, takže bezpečnostné tímy musia mapovať zodpovednosti za identity, údaje, konfiguráciu, kód, operačné systémy, siete, monitorovanie, obnovu a spracovanie incidentov namiesto spoliehania sa na štítok.
Kľúčové body
IaaSPoskytovateľ prevádzkuje fyzickú infraštruktúru a virtualizáciu, zatiaľ čo zákazník bežne spravuje hosťovské systémy, aplikácie, identity, údaje a veľkú časť konfigurácie virtuálnej siete.
PaaSPoskytovateľ spravuje aj platformu hosťujúcu aplikácie; zákazník kontroluje nasadené aplikácie, údaje, identity a povolenú konfiguráciu platformy.
SaaSPoskytovateľ prevádzkuje aplikáciu a podkladový stack; zákazník si ponecháva zodpovednosti za používateľov, údaje, povolené použitie, dostupnú konfiguráciu tenanta, integrácie, koncové body a zmluvné požiadavky.
Dôležité obmedzeniePresun „vyššie" v servisnom stacku automaticky neznižuje celkové riziko ani nepresúva zodpovednosť. Zlyhania poskytovateľa, nebezpečné predvolené hodnoty, nadmerné zákaznícke oprávnenia, nezabezpečené integrácie, zaobchádzanie s údajmi, koncentrácia a nejasné zmluvy môžu ovplyvniť každý model.