|
IaaS - Infrastruttura come servizio |
Fornisce risorse informatiche virtualizzate (server, archiviazione, networking) |
AWS EC2, Microsoft Azure VMs, Google Compute Engine |
VM configurate in modo errato, API non sicure, violazioni dei dati, controlli di accesso insufficienti |
Amministratori di sistema, DevOps, team IT |
C4: Configurazione non sicura, C6: Autenticazione non funzionante, C1: Gestione identità e accessi |
|
PaaS - Piattaforma come servizio |
Piattaforma per sviluppare, eseguire e gestire applicazioni senza gestione dell'infrastruttura |
Heroku, Google App Engine, Azure App Service |
Ambienti di sviluppo non sicuri, librerie runtime vulnerabili, accesso non autorizzato |
Sviluppatori, ingegneri software |
C7: Gestione insicura del carico di lavoro, C2: Sicurezza CI/CD, C6: Autenticazione non funzionante |
|
SaaS - Software come servizio |
Fornisce applicazioni software tramite Internet. |
Google Workspace, Microsoft 365, Salesforce |
Fuga di dati, autenticazione debole, mancanza di controllo sulla proprietà dei dati, phishing |
Utenti finali, team aziendali |
C1: Gestione identità e accessi, C6: Autenticazione non funzionante, C9: Dipendenze |
|
FaaS - Funzione come servizio |
Esecuzione di codice basata su eventi senza gestione del server (Serverless computing) |
AWS Lambda, Azure Functions, Google Cloud Functions |
Esecuzione di codice non sicuro, iniezione di eventi, isolamento delle funzioni non corretto, dipendenze non sicure |
Sviluppatori, sistemi basati su eventi |
C3: Gestione dei segreti, C7: Gestione dei carichi di lavoro non sicuri, C9: Dipendenze |
|
CaaS - Container as a Service |
Orchestrazione e gestione dei container |
Google Kubernetes Engine, Servizio Azure Kubernetes, AWS Fargate |
Fuga dai container, immagini non sicure, orchestrazione configurata in modo errato, fuga di segreti |
DevOps, Architetti cloud |
C4: Configurazione non sicura, C3: Gestione dei segreti, C7: Gestione non sicura del carico di lavoro |
|
BaaS - Backend come servizio |
Servizi backend pronti all'uso (ad es. autenticazione, database, archiviazione) per app |
Firebase, AWS Amplify, Supabase |
Esposizione dei dati attraverso endpoint configurati in modo errato, integrazione di client mobili non sicuri |
Web/Mobile App Developers |
C4: Configurazione non sicura, C1: Gestione delle identità e degli accessi, C8: Osservabilità |
|
DBaaS - Database come servizio |
Provisioning, scalabilità e backup dei database completamente gestiti |
Amazon RDS, MongoDB Atlas, Azure SQL Database |
Accesso non autorizzato, SQL injection, motori non aggiornati, backup non sicuri |
Sviluppatori, ingegneri dei dati |
C6: Autenticazione non funzionante, C4: Configurazione non sicura, C9: Dipendenze |
|
DaaS - Desktop come servizio |
Desktop virtuali ospitati su cloud accessibili da qualsiasi luogo |
Amazon WorkSpaces, Citrix DaaS, Windows 365 |
Dirottamento delle sessioni, fuga di dati tramite appunti/stampa, sicurezza degli endpoint debole |
Remote Workers, IT Teams |
C1: Gestione identità e accessi, C6: Autenticazione non funzionante, C8: Osservabilità |
|
STaaS - Storage as a Service (Servizio di archiviazione) |
Archiviazione cloud scalabile su richiesta |
Amazon S3, Google Cloud Storage, Azure Blob Storage |
Bucket non protetti, esposizione accidentale, ransomware, controllo degli accessi inadeguato |
Aziende, fornitori di servizi di backup |
C4: Configurazione non sicura, C6: Autenticazione non funzionante, C1: Gestione identità e accessi |
|
AIaaS - Intelligenza artificiale come servizio |
Modelli e strumenti AI/ML pre-addestrati come servizio |
Servizi cognitivi Azure, AWS SageMaker, Google Vertex AI |
Avvelenamento dei modelli, input avversari, violazioni della privacy dei dati, distorsioni |
Data scientist, sviluppatori |
C9: Dipendenze, C5: Catena di fornitura, C8: Osservabilità |
|
MLaaS - Machine Learning come servizio |
Strumenti e infrastruttura di apprendimento automatico gestiti |
Amazon SageMaker, piattaforma AI di Google, Azure Machine Learning |
Fuga di dati, furto di modelli, dati di addestramento non sicuri, uso improprio |
Ingegneri ML, ricercatori |
C9: Dipendenze, C5: Catena di fornitura, C3: Gestione dei segreti |
|
SECaaS - Sicurezza come servizio |
Servizi di sicurezza informatica forniti tramite cloud (ad esempio firewall, antivirus, monitoraggio delle minacce) |
Cloudflare, Zscaler, Palo Alto Prisma Access |
Eccessiva dipendenza da terzi, configurazioni errate, falso senso di protezione |
Team di sicurezza, aziende |
C4: Configurazione non sicura, C10: Governance e conformità, C8: Osservabilità |
|
NaaS - Rete come servizio |
Servizi di rete su richiesta come VPN, larghezza di banda e routing |
Megaport, Aryaka, AWS Cloud WAN |
Intercettazione del traffico, avvelenamento DNS, configurazioni VPN non sicure, DDoS |
Ingegneri di rete, aziende |
C6: Autenticazione non funzionante, C4: Configurazione non sicura, C8: Osservabilità |
|
IDaaS - Identità come servizio |
Gestione delle identità e degli accessi fornita tramite cloud |
Okta, Azure AD, Auth0 |
Furto di credenziali, dirottamento di sessioni, MFA inadeguata |
Team di sicurezza IT, aziende |
C1: Gestione identità e accessi, C6: Autenticazione non funzionante, C10: Governance |
|
UCaaS - Comunicazioni unificate come servizio |
Strumenti di comunicazione integrati come VoIP, messaggistica, videoconferenze |
Zoom, RingCentral, Microsoft Teams |
Intercettazioni, attacchi MITM, chat non crittografate, phishing |
Imprese, Call Center, Utenti finali |
C1: Gestione identità e accessi, C8: Osservabilità, C6: Autenticazione non funzionante |