在各种法律法规和标准的参考文件中，如云计算的安全扩展要求、CSA的云计算关键行业

安全指南、GB/T35378-2018《信息安全技术应用云计算安全参考架构设计》等，明确规定

了云安全参与者之间的权责划分，这也符合云计算复杂参与者的特点。
 

在GB/T的安全参考框架中，根据云安全的参与者，定义了不一样参与者不一样的安全建设内

容和职责。

 

 

GB/T31167-2015叙述了不一样服务模式下云服务供应商和云服务客户的安全管理范畴。如下

图所示，云服务客户实施安全模块的义务在IaaS服务中较大，在PaaS服务中较低，在SaaS

服务中最小，而云服务供应商和云代理实施安全模块的义务从IaaS、PaaS到SaaS分别增加

。这也可以在加拿大标准局D1法案第1.2节的相对应叙述中看到:云安全和合规性包括安全团

队目前需要负责的所有职责。尽管它延续了所有传统的安全领域，但其风险、角色和职责的

性质以及控制点的实施往往会有很大的变化。

 

 

尽管云安全和合规管理的总体范畴没有发生变化，但任何云服务参与者都需要承担相对应的

义务。这样想:云计算是一个共享的技术应用建模，不一样的组织通常承担实现和管理不一

样部分的义务。因此，安全责任由不一样的组织分担，所有组织都包括在内。

 

这通常被称为共同义务建模，这是一个取决于特定云提供商和功能/设备、服务建模和部署建

模的义务引流矩阵。从宏观上讲，安全责任对应于架构设计堆栈上任何角色的控制程度:。软

件即服务:云服务供应商负责几乎所有的安全，由于云消费者只有访问和管理他们使用的应用

程序，不能更改它们。例如，SaaS提供商负责外围安全、日志记录/监控/审计和应用程序安

全，而消费者可能只有管理授权和权限。

 

 

平台即服务:云服务供应商负责平台的安全，而消费者负责他们在平台上部署的应用，包括所

有的安全配置。所以他们的义务几乎是平均分配的。例如，当使用数据库作为服务时，提供

商管理基本的安全性、修复和核心配置，而云消费者负责其他方面，包括数据库使用的安全

功能、帐户管理甚至身份验证方法。基础设施建设即服务:与平台即服务(PaaS)相近，云服务

供应商负责基本安全，而云消费者负责构建在基础设施建设上的其他安全。与PaaS不一样

，IaaS消费者承担更多义务。例如，IaaS提供商可能会监控对其网络边界的攻击，但消费者

完全负责如何基于服务供应商提供的工具定义和实施自己的虚拟网络安全。