Model for delt ansvar

Der findes ingen enkelt normativ udgave af modellen; hver udbyder offentliggør sin egen matrix, AWS som "security of the cloud" over for "security in the cloud", Microsoft som et ansvarsskema pr. servicetype og Google under betegnelsen "shared fate", der fremhæver sikre standardindstillinger og skabeloner fra udbyderens side. De formelle ankre ligger andre steder. CSA Cloud Controls Matrix (version 4, 197 kontrolmål i 17 domæner) har implementeringsvejledning, der placerer hver kontrol hos cloududbyderen, cloudkunden eller begge. ISO/IEC 27017:2015 giver cloudspecifik vejledning skrevet separat for udbyder og kunde, og ISO/IEC 27001:2022 bilag A 5.23 (informationssikkerhed ved brug af cloudtjenester) kræver processer for anskaffelse, brug, styring og exit af cloudtjenester.

Fordelingen fastlægges pr. tjeneste og pr. funktion, ikke kun pr. servicemodel. I managed Kubernetes driver udbyderen kontrolplanet (API-server, etcd), mens patching af nodernes styresystem afhængigt af nodetypen kan blive hos kunden, og workloads, RBAC og netværkspolitikker altid gør. I en managed database patcher udbyderen databasemotoren inden for vedligeholdelsesvinduer, mens kunden ejer databasekonti, netværkseksponering, indstillinger for opbevaring af backup og valg af nøgler. Kundestyrede krypteringsnøgler flytter nøglens livscyklus og tilgængelighedsrisiko over til kunden: deaktiveres eller slettes nøglen, kan data med vilje ikke længere genskabes.

Ved revision læner kunden sig op ad udbyderens kontroller gennem SOC 2 Type II- eller ISAE 3402-erklæringer. Erklæringerne opregner komplementære kontroller hos brugervirksomheden, som kunden selv skal udføre, for at udbyderens kontroller er effektive, og de angiver, om underleverandører er udeladt (carve-out) eller medtaget. Ulæste komplementære kontroller og udeladte underleverandører er en almindelig blind vinkel i leverandørgennemgange. Amerikanske føderale godkendelser bruger en tilsvarende customer responsibility matrix.

At fordele opgaver er ikke det samme som at fordele ansvaret. Efter databeskyttelsesforordningen forbliver den dataansvarlige ansvarlig (art. 5, stk. 2, og art. 24), mens art. 28, stk. 3, litra c, forpligter databehandleren til at træffe sikkerhedsforanstaltningerne efter art. 32; NIS2-direktivets art. 21, stk. 2, litra d, dækker sikkerhed i forsyningskæden; og for finanssektoren fastlægger DORA (forordning (EU) 2022/2554) art. 28-30 styring af IKT-tredjepartsrisici og obligatoriske kontraktvilkår. En kendt begrænsning er, at modellen fordeler opgaver, men siger lidt om kompromitteringer hos udbyderen, som kunden ikke kan forhindre, fx tyveriet af en Microsoft-signeringsnøgle i Storm-0558-hændelsen i 2023; kunden har stadig brug for detektion, logning og exitplaner til den restrisiko.