セキュリティの誤った構成は、アプリケーションやシステムが適切に構成されていないか、安全な方法で維持されていない場合に発生します。これは、セキュリティ ベースラインまたは構成の欠陥、システム構成への許可されていない変更、またはベンダーがセキュリティ パッチをリリースしたときにシステムのパッチ適用とアップグレードが失敗していることが原因である可能性があります。安全でない直接オブジェクト参照は、コードがインフラストラクチャ、特に内部またはプライベート システムの側面を参照するときに発生し、攻撃者はその知識を使用してインフラストラクチャに関する詳細情報を収集できます。検証されていないリダイレクトと転送は、アプリケーションにユーザーを他のサイトに転送する機能があり、これらの機能が適切に保護されていないためにデータを検証して要求をリダイレクトできず、マルウェアやフィッシング攻撃のスプーフィングが可能になる場合に発生します。機密データの漏洩は、アプリケーションが機密アプリケーション データを保護するために十分な暗号化やその他のセキュリティ制御を使用していない場合に発生します。

ソフトウェア プラットフォーム全体がクラウド プロバイダーによって制御されるため、クラウド カスタマーの構成とバージョン管理の標準化が自動的に行われます。これにより、カスタマーが独自のシステムと開発のアップグレードとリリースを追跡する必要がなくなり、代わりにクラウド プロバイダーがその責任を負います。
SaaS 内ではライセンスはクラウド カスタマーの責任ですが、コンプライアンス要件には影響しません。SaaS 内では、システムの開発と保守はクラウド プロバイダーの責任のみとなります。

リソース プーリングは、DLP ソリューションを使用して保存データを保護するための最大の課題です。これは、データが大規模なシステムに分散され、多くの異なるクライアントによって共有されているためです。データは常に移動して分散されるため、物理的で分離されたストレージ システムと比較して、保護に関する追加の課題が生じます。移植性とは、異なるクラウド プロバイダー間を簡単に移動できることであり、相互運用性は、コンポーネントまたはサービスを再利用できることに重点を置いています。可逆性とは、クラウド カスタマーがクラウド プロバイダーからデータとサービスを簡単に完全に削除できることに関係します。

クラウド プロバイダーはさまざまな顧客をホストしているため、特定の顧客のニーズに基づいて追加の認定を取得することは現実的ではありません。クラウド環境は、最大数の顧客にサービスを提供するために共通の基準で構築されており、特にパブリック クラウド モデルでは、クラウド プロバイダーが特定の顧客の要求に合わせてサービスを変更することは不可能であり、現実的でもありません。