Przy wyborze modelu chmury musimy dokonać dokładnej analizy po czyjej stronie (odbiorcy czy dostawcy usługi) spoczywa odpowiedzialność za zarządzanie ryzykiem i implementację odpowiednich zabezpieczeń na każdej z warstw stosu SPI
Im niżej stosu dostawca świadczy usługi w chmurze, tym klient jest bardziej odpowiedzialny za zarządzanie i zabezpieczenie środowiska. W modelu Iaas (Infrastructure as a service), dostawca dostarcza niezbędną infrastrukturę i sprzęt, więc klient jest odpowiedzialny za zabezpieczenie systemów i aplikacji. PaaS (Platform as a service) jest pośrodku stosu i może oferować pewien poziom bezpieczeństwa a klient jest odpowiedzialny za zabezpieczenie aplikacji, która jest osadzona na platformie. W przypadku modelu SaaS (Software as a service), dostawca jest odpowiedzialny za całokształt rozwiązania (od kołyski aż po grób) stąd jest również odpowiedzialny za zapewnienie bezpieczeństwa na wszystkich warstwach stosu.
Pojęcie infrastruktury obejmuje fizyczną infrastrukturę jak urządzenia oraz zasoby sieciowe i obliczeniowe oraz składowania danych. Rozmieszczenie infrastruktury nie powinno być rozpatrywane jedynie w kontekście ‘wewnętrzny’ czy ‘zewnętrzny’ w odniesieniu do fizycznej lokalizacji zasobów, informacji czy aktywów. W przypadku modelu chmury rozmieszczenie oznacza zarówno fizyczną lokalizację jak również obejmuje kwestie przez kogo jest wykorzystywana i kto jest odpowiedzialny za zarządzanie nimi (nadzór, operacje, bezpieczeństwo, zgodność itp.) Nie oznacza to, że lokalizacja wewnątrz lub na zewnątrz organizacji nie wpływa na bezpieczeństwo i ryzyko, ale powinny one być rozpatrywane również pod względem:
• Typów zarządzanych aktywów , zasobów i informacji
• Kto nimi zarządza i kiedy
• Jakie zabezpieczenia są wybrane i jak są zintegrowane
• Kwestie zgodności z regulacjami (compliance)
Przykładowo umieszczając własne środowisko informatyczne (systemy operacyjne, serwery bazy danych czy aplikacji) na infrastrukturze Amazona AWS EC2 chmura zostanie sklasyfikowana jako publiczna w modelu IaaS, na zewnątrz organizacji, zarządzana przez dostawcę. Nawet jeśli poszczególne instancje i aplikacje oraz dane zawarte w środowisku są zarządzane przez naszą organizację, cała infrastruktura, którą współdzielimy z innymi użytkownikami jest pod kontrolą dostawcy.
Aplikacja służąca wielu jednostkom biznesowym, umieszczona w chmurze Eucalyptusa, która będzie pod kontrolą i w posiadaniu organizacji będzie określona jako chmura prywatna w modelu SaaS, wewnątrz organizacji, zarządzana przez organizację.
Zaufana strona to ta, która jest rozpatrywana jako część organizacji (pod względem prawnym, biznesowym, wspólnej polityki i misji itp.) obejmująca pracowników (stałych i kontraktowych) oraz partnerów biznesowych. Niezaufana strona to ta, która może być autoryzowana do korzystania z części lub całości usług, ale nie jest logiczną częścią organizacji
Aby dobrze zrozumieć odpowiedzialność za zarządzanie ryzykiem w modelu cloud computing należy zmienić myślenie tradycyjnymi pojęciami i w bardziej elastyczny sposób postrzegać definicje co jest wewnętrzne, a co zewnętrzne dla naszej sieci. Zabezpieczenie chmury nie oznacza tylko ochrony infrastruktury, ale również poszczególnych aplikacji, a nawet poszczególnych danych. Ważne jest także zrozumienie kto jest konsumentem, a kto dostawcą poszczególnych zasobów w określonych modelach usług (ze względu na typ i rozmieszczenie usługi) i kto jest odpowiedzialny za ich zabezpieczenie.