雲端服務通常採用共同責任模式：供應商負責服務平台和部分底層環境，客戶則需處理自己使用方式、帳戶和資料的安全。哪一方負責哪些控制，會因服務是 SaaS、PaaS、IaaS，以及具體產品而不同。
SaaS、PaaS、IaaS：誰負責管理哪些部分？
一般而言，服務越接近「即開即用」，供應商管理的底層部分越多；企業仍要管理自己的資料、帳戶和使用設定。
服務類型企業通常要管理供應商通常管理
SaaS帳戶、身分與存取權應用程式與平台維護
PaaS自行建立的應用程式與資料平台、執行環境與作業系統
IaaS作業系統、應用程式、資料與存取權虛擬化層、底層網絡與硬件
先認清使用的是哪類服務
使用現成的網頁應用通常較接近 SaaS；部署自己的應用到平台上，責任分配可能不同；租用虛擬伺服器則仍要管理更多系統設定。這些只是一般分類，不能取代每個服務的官方責任說明和合約條款。
企業仍要檢查的幾個部分
- 帳戶和身分：誰可登入、誰有管理權、離職時如何撤銷存取。
- 資料和分享：存放哪些資料、誰能分享給外部、如何管理連結和下載。
- 設定：管理員選擇的安全設定、登入保護、通知和紀錄是否合適。
- 備份和復原：服務提供哪些復原能力，企業是否另有保存或還原需要。
- 設備和網絡：員工用來存取雲端服務的電腦和網絡如何管理。
逐項把責任寫清楚
建立一張服務清單，列出供應商負責的部分、公司要設定或監察的部分、負責人和核對日期。遇到不確定項目，查閱該產品的官方文件或向服務商確認。不要把某一家供應商的責任分工直接套用到所有 SaaS。
以 Microsoft Azure 為例，Microsoft 官方文件列出不同雲端服務模式下的責任分配，同時指出客戶仍需管理資料、身分和存取。這是 Azure 的說明，不應直接視為其他供應商的承諾。
把備份需求與雲端責任分開檢查
供應商提供的可用性或平台復原能力，不一定等於符合企業的資料保留和還原需求。確認哪些資料需要備份、保留多久、誰能還原，以及是否要做測試。可參考公司備份與災難復原指南，並按實際服務文件核對。
清楚分工能減少系統變更和事故發生時的互相等待。每項服務至少要有一位公司負責人，知道去哪裡查看官方設定和支援資料。