IaaS対PaaS対SaaSのセキュリティ：最も安全なのはどれか？

Infrastructure as a Service（IaaS）、Platform as a Service（PaaS）、Software as a Service（SaaS）などのクラウドコンピューティングサービスには、それぞれ固有のセキュリティ上の懸念があります。

IaaSでは、インターネット経由で仮想化されたコンピューティングリソースを利用し、ユーザーがOS、アプリケーション、データ、ネットワークのセキュリティに責任を負います。セキュリティ上の懸念には、データ保護、ネットワークセキュリティ、IDおよびアクセス管理、物理セキュリティなどがあります。PaaSプロバイダーは基盤となるインフラとランタイム環境を管理し、ユーザーはアプリケーションの開発とデプロイに集中します。ユーザーは脆弱性からアプリケーションを保護し、強固なアクセス制御を実装するとともに、ベンダーのセキュリティ対策を評価する必要があります。SaaSプロバイダーはインターネット経由でソフトウェアアプリケーションを提供し、ユーザーは基盤となるインフラやプラットフォームを管理せず、ソフトウェアの利用に専念します。

IaaSは完全な制御と説明責任を提供する一方、PaaSは制御性とシンプルさのバランスを取り、SaaSはセキュリティ業務の大部分をプロバイダーが担う、より手間の少ないアプローチを提供します。組織は、選択したクラウドサービスモデル固有の特性と責任共有モデルに合わせて、セキュリティ対策を調整する必要があります。

IaaS対PaaS対SaaSのセキュリティ比較

以下の表は、IaaS、PaaS、SaaSにおける主なセキュリティ問題を、責任共有モデルとユーザーとプロバイダー間のセキュリティ義務の分担に焦点を当てて概観したものです。

IaaSセキュリティとは？

IaaSは、仮想マシン、ストレージ、ネットワークなどの仮想化リソースをインターネット経由で提供するクラウドコンピューティングモデルです。このオンデマンドサービスにより、ユーザーは物理ハードウェアに投資することなく、柔軟性と拡張性を得られます。

IaaSのセキュリティ上の懸念

クラウドコンピューティングリソースに対するDoS（サービス拒否）攻撃

サービス拒否攻撃は、サービスに大量のトラフィックを送り付けて可用性を損ない、正当なリクエストに応答できなくするものです。攻撃者は、仮想マシンなどのクラウドベースのコンピューティングリソースに大量のトラフィックを送り込む可能性があります。その結果、パフォーマンスが大幅に低下したり、一部のリソースが完全に利用不能になったりする場合があります。

DoS攻撃が成功すると、影響を受けたクラウドベースのコンピューティングリソース上で稼働するアプリケーションやサービスの可用性が低下し、ダウンタイムが発生するほか、相互接続された他のサービスが侵害される可能性があります。

ボットネットに利用される侵害済みクラウドコンピューティングインスタンス

ボットネットとは、敵対者に制御される、ハッキングされたコンピューターやデバイスのネットワークです。この場合、侵害されたクラウドコンピューティングインスタンスがボットネットに組み込まれ、攻撃者が悪意ある活動を管理・調整できるようになります。

これらのインスタンスは、協調攻撃、ウイルスの拡散、クラウド環境へのさらなる侵入など、さまざまな悪意ある目的に利用されます。ハッキングされたクラウドコンピューティングインスタンスをボットネットで利用すると、攻撃者の計算能力が高まり、活動の影響力が増します。また、クラウドプロバイダーや同じインフラを利用する他の顧客にとっても、セキュリティ上の懸念が増大します。

制御の制限

IaaSの枠組みにおける制御の制限とは、基盤となるインフラの一部のコンポーネントを監視・変更する際に、ユーザーが本質的に直面する困難を指します。ユーザーは仮想マシン、ストレージ、ネットワーク構成などの仮想化リソースを制御できますが、インフラレベルでの可視性と権限はしばしば制限されます。

この制約は、セキュリティ対策の実施やカスタマイズの選択に影響を及ぼし、ユーザーが直接制御できない部分については、クラウドプロバイダーのセキュリティ基準に頼らざるを得なくなります。IaaSにおける制御の制限に伴う課題に対処するには、ユーザーの自律性とプロバイダーが管理するインフラのバランスを取ることが重要です。

セキュリティの設定ミス

セキュリティの設定ミスとは、IaaSシステムにおける設定、権限、ネットワークパラメーターが不適切に構成されることで生じる欠陥です。IaaSモデルでは、ユーザーが仮想マシンやその他のリソースを設定する責任を負います。アクセス制限、ネットワーク設定、セキュリティグループのルールはいずれも、設定ミスの影響を受ける可能性があります。

セキュリティの設定ミスは、機密データの露出から不正アクセスまで、深刻な影響を及ぼします。設定ミスを発見・修正し、関連するリスクを抑えるには、定期的なセキュリティ監査、ベストプラクティスの遵守、徹底したユーザートレーニングが不可欠です。

仮想マシン（VM）、コンテナ、サンドボックスからの脱出

仮想マシン、コンテナ、サンドボックスからの脱出とは、セキュリティ上の欠陥を悪用して、隔離されたコンピューター環境から抜け出すことです。仮想マシンの場合、ハイパーバイザーのセキュリティを回避して、他の仮想マシンやホストシステムにアクセスすることを指します。同様に、コンテナ内の不正アクセスを防ぐ障壁を迂回することも含まれ、安全なサンドボックスから脱出する行為に似ています。

これは、機密データへの不正アクセス、他の仮想マシンの侵害、サービスの中断につながる可能性がある深刻なセキュリティ上の懸念です。このような脱出を防ぐには、IaaSインフラを安全に保つため、ハイパーバイザーのセキュリティ強化、定期的なアップグレード、積極的な脆弱性監視が必要です。

侵害されたID

IaaSの実装では、仮想マシン、ストレージ、その他のコンポーネントを保護するうえで、ユーザーIDとアクセス制限が重要です。攻撃者がユーザーの認証情報やアクセストークンを取得すると、これらの識別情報が侵害されます。その後、攻撃者は正規ユーザーになりすまし、仮想化リソースに不正アクセスできます。

放置すると、侵害されたIDはデータ侵害、サービス中断、コンピューティングリソースの悪用につながる可能性があります。侵害されたIDに伴う危険を減らすには、強固な認証手順、多要素認証を導入し、ユーザー認証情報を定期的に監視・更新する必要があります。

コンプライアンスおよび規制要件

IaaS環境のコンプライアンスおよび規制要件では、業界固有の法律、標準、セキュリティポリシーに準拠する必要性が重視されます。IaaSユーザーは、クラウドのデプロイメントが適用される法的枠組み、業界固有のコンプライアンス要件、社内のセキュリティ規則に準拠していることを確認する必要があります。

これらの基準を満たさない場合、法的制裁、罰金、評判の低下につながる可能性があります。コンプライアンスを達成・維持するには、適用される法律を十分に理解し、変化するコンプライアンス環境を継続的に監視するとともに、組織および規制上の要件を満たす有効なセキュリティ対策を導入する必要があります。

IaaSのセキュリティベストプラクティス

データ暗号化

IaaS環境で効果的にデータを暗号化するには、保存時と転送中のデータの両方に強力な暗号化方式を使用する必要があります。最新の暗号化技術を利用することで、保護の層が増え、重要なデータを不正アクセスから守れます。保存時のデータを暗号化すれば、物理ストレージがハッキングされてもデータを読み取れない状態にできます。一方、転送中のデータを暗号化すれば、インフラコンポーネント間を移動するデータを保護できます。このベストプラクティスは、IaaS環境内のデータの安全性と完全性を守るうえで不可欠です。

アクセス制御

IaaSでアクセス制御を実装することは、最小権限の原則に従ううえで重要です。つまり、ユーザーには担当業務に必要な権限だけを与えます。このベストプラクティスでは、組織の要件の変化に合わせて、アクセス制限を定期的に監視・更新します。必要最小限のアクセス権を付与することで、組織は不正行為のリスクを減らし、全体的なセキュリティを向上させられます。アクセス制限を継続的に評価・変更することで、IaaS環境内に動的で安全なアクセス管理アーキテクチャを構築できます。

ネットワークセキュリティ

IaaSで強固なネットワークセキュリティを維持するには、ソフトウェアを最新の状態に保ち、脆弱性に対処するパッチを迅速に適用する必要があります。このベストプラクティスにより、攻撃者が既知の脆弱性を悪用する危険を減らせます。ファイアウォールや侵入検知システムなどのネットワークセキュリティソリューションを利用すれば、防御をさらに強化できます。これらの技術は、ネットワークトラフィックの監視・フィルタリング、疑わしい挙動の検知、不正アクセスの防止に役立ち、IaaSアーキテクチャ内の強固なネットワークセキュリティ態勢に貢献します。

ID管理

多要素認証（MFA）は保護層を追加し、IaaSで効果的なID管理を可能にします。MFAでは、アクセス前に複数の身元確認手段を提示するようユーザーに求めるため、認証プロセスが大幅に強化されます。ユーザーアクセスを定期的に見直し、監査することで、アクセス権が最小権限の原則に沿っていることを確認できます。このID管理への二重のアプローチにより、IaaS環境全体のセキュリティが強化され、不正アクセスの試みや潜在的なセキュリティ侵害への耐性が高まります。

監視とログ記録

異常や潜在的なセキュリティ問題を検知する強力な監視技術の利用は、IaaSにおける中核的なベストプラクティスです。これらの技術は、システム活動、ネットワークトラフィック、ユーザーの操作をリアルタイムで分析し、潜在的なリスクに関する情報を提供します。同時に、セキュリティイベントをログに記録して監視することで、攻撃の可能性を効率的に特定し、対応できます。セキュリティ関連イベントを積極的に監視・記録することで、組織はIaaS環境におけるセキュリティ問題の検知、分析、軽減能力を向上させられます。

定期監査

定期的なセキュリティ監査と評価により、IaaSの問題を早期に検知・修正できます。監査では、インフラのセキュリティ制御、設定、セキュリティ標準への準拠状況を詳細に調査します。第三者によるセキュリティ評価では、インフラ全体のセキュリティ態勢を独立した立場から検証し、潜在的な欠陥や改善の機会を明らかにします。定期監査は継続的改善のサイクルを根付かせ、新たなサイバー脅威やセキュリティ問題に対するIaaS環境のレジリエンスを高めます。

関連記事：2023年版：クラウドセキュリティのベストプラクティスとヒント13選

PaaSセキュリティとは？

PaaSセキュリティとは、PaaSプラットフォーム上に置かれたアプリケーション、データ、インフラを保護するために講じられる対策を指します。PaaSは、基盤となるインフラを気にすることなく、アプリケーションの設計、実行、管理を可能にするプラットフォームをユーザーに提供するクラウドコンピューティングサービスです。さらにPaaSセキュリティには、これらのアプリケーションやデータへの不正アクセス、データ侵害、その他のサイバー脅威を防ぐことも含まれます。PaaSプラットフォーム上のアプリケーションと情報の機密性、完全性、可用性を確保するため、認証、暗号化、その他のセキュリティメカニズムを導入します。

PaaSのセキュリティ上の懸念

PaaSのセキュリティに関する考慮事項には、PaaSシステムを安全に運用するために企業が対処すべき、さまざまな潜在的危険や問題が含まれます。PaaSのセキュリティリスクには、次のようなものがあります。

データ侵害とデータセキュリティ

機密データの保存と処理はいずれも、障害が発生し得るポイントです。不正アクセスによってデータ侵害、データの改ざん、機密情報の意図しない露出が生じることが懸念されます。こうした脅威を防ぐには、転送中と保存時の両方でデータを安全に保護する、強力なデータ暗号化方式を確立することが不可欠です。

プラットフォームの脆弱性

PaaSにおけるプラットフォームの脆弱性とは、インフラ、ランタイム環境、サポートサービスなど、基盤となるプラットフォームの弱点や欠陥を指します。悪用されると、PaaS環境への不正アクセス、データ侵害、障害につながる可能性があります。こうした脆弱性はPaaSサービスのセキュリティと安定性を損ない、機密情報への不正アクセス、サービス停止、プラットフォームコンポーネントの改ざんを招くおそれがあります。

アプリケーションの脆弱性

PaaS構成におけるアプリケーションの脆弱性とは、悪意ある攻撃者に悪用される可能性がある、カスタムアプリケーションやコードの欠陥です。これには、セキュリティ上の欠陥、不適切な設定、危険なコーディング手法の使用などが含まれます。解決されないまま放置すると、データ侵害、不正アクセス、重要なサービスの中断につながる可能性があります。安全なコーディング技術、定期的なテスト、継続的な監視を必要とするこれらの脆弱性に対処することで、サービスの中断やアプリケーションの不正な動作を防げます。

可視性の制限

可視性の制限とは、基盤となるインフラ、ネットワーク設定、プロバイダーが講じるセキュリティ対策を十分に把握できないことを指します。この透明性の欠如により、セキュリティ侵害を効果的に発見して対応することが難しくなります。また、セキュリティリスクの特定、疑わしい活動の監視、変更の追跡、完全なセキュリティ監査の実施も困難になります。組織は、PaaS環境のコンプライアンスを確保し、全体的なセキュリティ態勢を分析することに苦労する可能性があります。

PaaSのセキュリティベストプラクティス

脅威モデリング

脅威モデリングは、潜在的なセキュリティリスクと脆弱性を検知・評価するうえで不可欠です。体系的にリスクを評価して解消することで、組織はアプリケーションとインフラのセキュリティ態勢を事前に改善できます。これにより、攻撃が成功する可能性を抑えられます。

保存時および転送中のデータを暗号化

保存時および転送中のデータを暗号化することは、機密情報を保護するうえで不可欠です。この手法は不正アクセスや侵害からデータを守り、データの機密性と完全性を維持します。暗号化は、PaaSセキュリティを活用するための基本要件であり、企業が規制およびコンプライアンス上の義務を満たしながら、セキュリティインシデントの影響を軽減するのに役立ちます。

ビジネスフロー全体の相互作用をマッピングしてテスト

ビジネスフロー全体の相互作用を理解してテストすることは、アプリケーションのセキュリティ確保に役立ちます。通信経路における潜在的な弱点を特定して解消することで、組織は不十分な相互作用のマッピングやテストに起因するデータ侵害、不正アクセス、その他のセキュリティ問題を防げます。

ロックインを避けるため移植性を考慮

移植性を考慮することで、企業はベンダーロックインを避け、PaaSプロバイダーを選択する際の柔軟性を高められます。このベストプラクティスにより、企業はプラットフォーム間でアプリケーションやデータを移行でき、単一ベンダーへの依存を最小限に抑え、ビジネス要件の変化に伴うリスクを軽減できます。

プラットフォーム固有のセキュリティ機能を活用

組織は、組み込みツールや認証プロセスなど、PaaSプロバイダーが提供する幅広いセキュリティ機能を活用することで、アプリケーションセキュリティを向上させられます。こうした機能を取り入れることで、より包括的なセキュリティアプローチを構築できますが、限界についても認識しておくことが重要です。プラットフォーム固有のセキュリティ対策だけに依存すると、PaaSプロバイダーが提供するセキュリティソリューションの全体的な有効性について、企業がアクセスや可視性を十分に得られない可能性があるため、危険が生じるおそれがあります。

Webアプリケーションファイアウォールを導入

Webアプリケーションファイアウォール（WAF）は、オンラインアプリケーションをさまざまなサイバー脅威から守り、SQLインジェクションやクロスサイトスクリプティングなどの一般的な脆弱性から保護します。WAFはHTTPトラフィックをフィルタリングして監視することで、不正アクセス、データ侵害、サービスの中断を防げます。

分散型サービス拒否（DDoS）攻撃対策を利用

分散型サービス拒否攻撃とも呼ばれるDDoS攻撃は、さまざまな発信元から行われますが、通常はボットネットと増幅経路の2種類に大別されます。DDoS攻撃はインフラに過剰な負荷をかけ、サービス停止を引き起こす可能性があります。DDoS攻撃の緩和ソリューションを導入して、企業がこうした攻撃を特定し、攻撃を受けてもサービスを継続できるようにすることで、継続的なサービス提供を確保します。

アプリケーションのパフォーマンスを監視

アプリケーションのパフォーマンスを監視することは、ユーザー体験や全体的な動作に影響を及ぼす可能性のある問題を検知・解決するうえで不可欠です。組織はパフォーマンス指標を綿密に監視することで、異常を発見し、リソース消費を最適化するとともに、セキュリティ問題やパフォーマンスのボトルネックに迅速に対処できます。

SaaSセキュリティとは？

Software as a Service（SaaS）は、サブスクリプション方式でインターネット経由でソフトウェアアプリケーションを提供するクラウドコンピューティングモデルです。ユーザーはWebブラウザーを使ってこれらのアプリケーションにアクセスし、プロバイダーがソフトウェアのホスティングと保守、アップグレード、可用性およびセキュリティの確保を担います。SaaSセキュリティには、データ、アプリケーション、インフラの保護に加え、データプライバシー、アクセス制限、暗号化、業界規則への準拠が含まれます。SaaSアプリケーションを利用する組織も、データセキュリティにおいて役割を果たす必要があります。

SaaSのセキュリティ上の懸念

こうしたSaaSセキュリティリスクに対処するには、プロアクティブなリスク管理、厳格なセキュリティ評価、サービスプロバイダーとの明確なコミュニケーション、継続的な監視およびコンプライアンス対応を組み合わせる必要があります。

クラウドの設定ミス

クラウドの設定ミスとは、セキュリティ脆弱性につながり、機密データを露出させたり、不正アクセスを可能にしたりするクラウドサービス設定上の誤りです。こうした設定は、SaaSプロバイダーと利用者の双方が行います。対処されない設定ミスは、不正アクセス、データ侵害、システムの完全性の侵害につながる可能性があるため、正しい設定手順の必要性が浮き彫りになります。

第三者リスク

第三者リスクは、組織がSaaSアプリケーションを第三者のサービスプロバイダーに依存することで生じます。これには、セキュリティポリシー、データ処理、信頼性などに関する問題が含まれます。第三者プロバイダーでセキュリティ問題や運用停止が発生すると、アプリケーションのセキュリティと可用性に直接影響します。そのため組織は、SaaSアプリケーションへの影響を抑えるため、こうしたリスクを適切に特定・管理する必要があります。

サプライチェーン攻撃

SaaSへのサプライチェーン攻撃でリスクにさらされるデータは、エンドユーザーや企業のものです。こうした攻撃は、アプリケーションの開発または提供プロセスにおける脆弱性を悪用し、データの完全性を損なう可能性があります。エンドユーザーはアプリケーションを利用する人々であり、アプリケーションの保守担当者はその開発と配布を担います。SaaSでは、攻撃によってアプリケーションの開発・配布プロセスが侵害され、悪意あるコードが組み込まれたり、アプリケーションの完全性が損なわれたりすることで、組織が所有するデータの侵害や不正アクセスにつながる可能性があります。

ゼロデイ脆弱性

ゼロデイ脆弱性とは、パッチがリリースされる前に攻撃者が悪用するソフトウェアのセキュリティ上の欠陥であり、特にSaaS環境では注意が必要です。こうした脆弱性は、不正アクセス、データ侵害、サービスの中断につながる可能性があるため、リスクを軽減するには迅速なパッチ適用とプロアクティブなセキュリティ対策が必要です。

デューデリジェンスの不足

デューデリジェンスの不足とは、SaaSプロバイダーや組織のセキュリティ慣行に対する評価と理解が不十分なことを指します。その結果、選択したSaaSソリューションに伴うセキュリティ脆弱性、コンプライアンス上の問題、運用上の課題に組織が気付かないままさらされる可能性があります。

コンプライアンス違反

業界規制やデータ保護法に準拠しないと、法的な結果を招き、SaaSアプリケーション内の機密データのセキュリティを損なう可能性があります。そのため組織は、既存の標準や規制への準拠を重視したSaaSセキュリティソリューションを選択・導入する際に注意を払い、法令遵守と徹底したデータ保護の両方を確保する必要があります。

責任範囲が不明確

SaaSプロバイダーとユーザーの間でセキュリティ上の責任分担が不十分だと、セキュリティ対策の抜けや誤解が生じ、インシデント対応が効果的に行えなくなる可能性があります。効果的なセキュリティ管理に向けて、役割と責任を定め、明確にしてください。

安全でないストレージ

データストレージのセキュリティ上の懸念には、不十分な暗号化、アクセス制御の不足、インフラの脆弱性などがあります。こうした問題は、不正アクセス、侵害、コンプライアンス違反につながる可能性があります。これらのリスクを軽減するには、堅牢な暗号化とアクセス制御を実装してください。

災害時の責任

SaaSプロバイダーとユーザーが、明確な災害復旧および事業継続計画を策定していないと、データ損失、長期的なダウンタイム、サービス停止などの障害につながる可能性があります。こうしたリスクを軽減するには、協力して災害復旧計画を導入する必要があります。

SaaSセキュリティのベストプラクティス

これらのSaaSベストプラクティスを組み合わせて実践することで、SaaSエコシステム内のデータ、アプリケーション、インフラを保護する、強固でレジリエントなセキュリティ態勢を構築できます。

共有責任モデルを特定

SaaSプロバイダーとユーザーの間でセキュリティ上の責任を分担する共有責任モデルを理解してください。これにより、SaaSアプリケーションとインフラの各コンポーネントを誰が保護する責任を負うのかが明確になります。

クラウドプロバイダーの多層防御について確認

SaaSプロバイダーとのセキュリティに関する話し合いを優先し、セキュリティ手順、手法、対策について確認してください。これにより、プロバイダーが業界のベストプラクティスに従い、組織のセキュリティ基準を満たしていることを確認できます。

ID・アクセス管理（IAM）ソリューションを導入

IAMシステムを導入して、ユーザーIDを管理し、SaaSアプリケーションへのアクセスを制御します。最小権限の原則に従うことで、ユーザーに必要十分な権限だけを付与し、セキュリティを高められます。

スタッフを教育

定期的なスタッフ教育に投資し、セキュリティのベストプラクティス、リスク、組織のセキュリティポリシーに対する理解を深めてください。従業員教育は、セキュリティ意識の高い文化を維持し、人に起因するセキュリティ脅威を回避するうえで不可欠です。

クラウドセキュリティポリシーを策定・導入

SaaS環境に合わせた包括的なクラウドセキュリティルールを策定・導入してください。組織内で安全な運用を指導するため、これらのルールにはデータ処理、アクセス制限、認証、その他のセキュリティ問題を盛り込む必要があります。

エンドポイントセキュリティを利用

SaaSアプリケーションに接続するデバイスを保護するため、エンドポイントセキュリティ対策を確立してください。これには、ウイルス対策ソフトウェアやエンドポイント保護技術の導入に加え、デバイスがセキュリティ規則に従っていることの確認が含まれます。

転送中および保存時のデータを暗号化

転送中と保存時の両方でデータを保護するため、暗号化技術を利用してください。暗号化は不正アクセスを防ぎ、データの機密性を維持することで、機密データを保護します。

侵入検知・防御ソフトウェアを利用

セキュリティ上の潜在的なリスクを検知・防止するため、侵入検知・防御システムを利用して、疑わしい活動がないかネットワークトラフィックを監視してください。こうしたソフトウェアソリューションは、セキュリティ問題の早期検知と軽減に役立ちます。

コンプライアンス要件を再確認

SaaS環境が適用される法令や標準に準拠していることを確認するため、コンプライアンス要件を定期的に見直し、再評価してください。この手法は、法令および規制への準拠を維持するのに役立ちます。

CASBまたはクラウドセキュリティソリューションを検討

SaaS環境におけるデータとユーザーの操作に対して、保護、可視性、制御のレベルを提供するため、Cloud Access Security Broker（CASB）やその他のクラウドセキュリティソリューションの導入を検討してください。

監査、ペネトレーションテスト、脆弱性テストを実施

SaaSアプリケーションとインフラに潜むセキュリティ上の欠陥を発見・解消するため、定期的な監査、ペネトレーションテスト、脆弱性テストを実施してください。このプロアクティブな戦略により、全体的なセキュリティを向上させられます。

セキュリティログを有効化・監視

ユーザーの活動、システムイベント、セキュリティ上の潜在的な問題を追跡するため、セキュリティログを有効化し、定期的に監視してください。セキュリティログを監視することで可視性が高まり、セキュリティリスクの発見と対応に役立ちます。

設定ミスを認識・修正

セキュリティ上の問題を排除するため、SaaS環境の設定ミスを定期的に評価・修正してください。設定ミスを認識して修正することで、安全で適切に設定されたインフラを維持できます。

結論：IaaSとPaaSとSaaSのセキュリティ

IaaS、PaaS、SaaSは、それぞれ異なるセキュリティモデルを提供するクラウドサービスです。IaaSでは、組織がオペレーティングシステム、アプリケーション、データを含むインフラ全体を保護します。一方、PaaSでは共有責任モデルが採用され、プロバイダーがインフラを管理し、ユーザーはアプリケーション開発に注力します。PaaSにおけるセキュリティ上の懸念には、アプリケーションの脆弱性、データセキュリティ、ID管理などがあります。SaaSではセキュリティの責任がプロバイダーに移り、アプリケーションセキュリティ、データ保護、アクセス制御が中心となります。

組織は、ベストプラクティス、コンプライアンスの遵守、各クラウドサービスカテゴリーに内在する共有責任モデルの理解を通じて、セキュリティ上の懸念にプロアクティブに対処する必要があります。