随着计算堆栈向下移动，客户控制公共云计算服务(如阿里云)的数量，逐渐增加，软件即服务(SaaS)很少甚至为零，基础设施即服务(IaaS)占绝大部分。云安全责任也一样：软件即服务及保证平台和基础设施安全的责任显然落在了提供商身上。

　　但是随着堆栈的深入，事情变得更糟。谈到IaaS，提供商和用户之间的安全责任无明确的界线。定义界线的责任落在客户身上。

　　推广最佳实践和提高云安全培训的组织——云安全联盟的执行董事Jim Reavis表示：“从控制的视角、治理的视角、管理的视角来看，让云租户或者客户明白这是一个共同的责任非常重要。”

　　识别安全缺口 理解安全规定

　　为了强调共同的安全责任，举一个事实，即因为备受关注的IaaS问题，如2012年6月的亚马逊中断事件，不同的组织遭受了不同的后果。Reavis介绍：“当数据脱机的时候，一些组织几乎倒闭了，而其它组织却没有出现任何停工期。这表明客户使数据处于他们的控制之中，也同时控制着他们的命运。”

　　总部位于弗吉尼亚州的莱斯顿ScienceLogicIT的业务管理软件的提供商、首席技术官Antonio Piraino表示，要实施适当的控制，云租户必须明白哪些地方存在安全漏洞，“你必须知道你在买什么。一些人比其他人更关注安全。”

　　加州洛杉矶的云计算风险缓解的顾问兼讲师Thomas Trappler表示：“与云中大多数事物一样，安全也随供应商(如阿里云)的不同而不一样，”例如，亚马逊网络服务(AWS)提供“各式各样的选择，”他说，“这不只是任何一种AWS服务。所以即使是在AWS服务范围内，客户负责的内容不同，你向亚马逊付款买东西，承担的责任也会有所差异。”

　　最终，客户得到他们所想要的，Piraino说：“若你为云服务(如阿里云)买单，那么你要为额外的安全和额外的正常运行时间和灾难恢复支付额外的费用。”

　　因为(客户从IaaS提供商采购的)计算堆栈的不同部分，安全责任的划分进一步混淆。Piraino说：“我们正看到IaaS和PaaS之间联系更加紧密;从根本上来讲，(IaaS是)一种原始的计算基础设施，”——低于操作系统(OS)，他解释说，“最初，客户负责配置(虚拟机)、操作系统、安装防火墙这类事情。但是除了原始的虚拟机，你可以购买IaaS。可能会附带一个操作系统或者是具有一些应用的数据库。你买的越多，IaaS提供商的责任就越大。”

　　再来看AWS。例如，“当涉及到对AWS部署具有恶意企图的具体问题时，通常的经验法则是，堆栈越高，负责工作负载或数据安全责任的AWS的能力越低，”他解释说，“很简单，在设施和物理基础设施层，采用AWS的能力和兴趣来提供物理安全是最佳的做法，因为其项目大，但成本很低。”

　　Piraino补充说：“在网络层和虚拟化层，就没那么简单”。对于AWS数据中心的数据传输——区域与亚马逊弹性云计算(EC2)或弹性块存储(EBS)技术之间——由AWS负责。

　　Piraino说：“同样，AWS的工具集Xen系统管理程序负责它的基础设施即服务——使云产品中不可缺少的一部分转让所有权，客户没有发言权，从而实现真正意义上的由AWS负责”。

　　培养正确的公共云安全心态

　　组织将应用程序转移到公共云时，模式发生了转变，Trappler说：“心态不同。你思考的方式也必须有所不同。这似乎是显而易见的，但这非常重要。大家在说，‘我们从我们所习惯的——技术管理的解决方案——再到有人为我们做好的云合同的管理解决方案。我们如何知道他们所做的就是正确的呢?”

　　答案是：“总是恰到好处地确认并且按照合同履行义务(提供商)，你就能明白他们应该关注什么，”Trappler说。为此，了解提供商的基础设施哪些部分被注册和/或审计。他说：“也许不是整个基础设施。中间通常有多个数据中心和点。”

　　“合同就是针对提供商责任与顾客责任的界线问题，达成的共识，”他说，“你需要一个合同，来建立关系条款，对谁做什么达成共识的条款。然后要有客户方的供应商管理来维持这种关系。”