共同責任模式（shared responsibility model）是雲端服務商與客戶分工處理保安工作的方式：服務商負責保護底層雲端，客戶則負責保護放進雲端的內容及設定。AWS 稱為「雲端本身的安全」與「雲端內的安全」。Microsoft 和 Google 亦公布類似模式，多數託管及 SaaS 供應商原則相同。
對中小企而言，把網站、資料庫或辦公系統搬上雲端，只交出部分工作。薄弱帳戶、公開儲存空間和未修補伺服器都屬客戶一方，服務商不會代為處理。
服務商通常負責甚麼
在主要公共雲平台，服務商負責保護運行其服務的基礎設施，一般包括：
- 實體、硬件與網絡：數據中心大樓、出入管制、電力與冷卻，以及設施內的伺服器、儲存裝置、路由器及線路。
- 虛擬化層：把不同客戶的虛擬機器分隔開的 hypervisor。
- 代管的平台層：在平台及軟件服務中，作業系統、執行環境和大部分應用程式堆疊。
客戶始終要負責的部分
無論選用哪類服務，部分責任始終留在企業一方。Microsoft 指引列明，資料、終端裝置、帳戶和存取管理是客戶永遠保留的範圍：
- 你的資料：儲存甚麼、誰可查看、加密選擇、保留期限及備份。
- 身份與存取：用戶帳戶、管理員權限、多重身份驗證和角色權限管理（RBAC）。
- 設定：分享設定、防火牆規則、儲存權限及已啟用功能。
- 裝置：員工用來登入的電腦和手機。
- 應用程式憑證：API 金鑰和權杖應放在妥善的機密管理方案，而非程式碼或共用文件。
分工如何隨服務類型改變
服務商代管越多，你要維護的就越少，但客戶一方責任不會消失。
- 基礎設施即服務（IaaS）：例如雲端虛擬機器。你管理作業系統、更新與修補、已安裝軟件和網絡規則。AWS 以 EC2 為例，說明客戶須負責客體作業系統修補及 security group（防火牆）設定。
- 平台即服務（PaaS）：例如代管應用程式託管或資料庫。服務商運行伺服器和作業系統；應用程式碼、依賴套件、設定和存取仍由你負責。
- 軟件即服務（SaaS）：例如雲端電郵或網上會計。服務商運行應用程式；用戶、權限、分享設定、多重身份驗證及放入的資料仍由你控制。
不少企業同時使用三類服務，每項分工不同。
中小企常見的缺口
當責任只靠假設而沒有寫下來，常見缺口包括：
- 以為服務商已替你備份、隨時可還原，或把儲存設為「任何擁有連結的人」／公開可見，卻沒有查看條款或測試還原；
- 雲端伺服器設定後從未更新——IaaS 上的修補程式管理屬客戶責任；
- 管理員帳戶共用、沒有多重身份驗證，或系統由 IT 供應商建立卻沒有書面協議訂明之後由誰維護；
- 沒有人負責留意警示、日誌或網站監察，問題往往由客戶先發現。
如何實際應用
不需龐大保安團隊。這與零信任思路一致：不要假設雲端預設安全。可從以下幾步開始：
- 列出所有雲端服務：託管、儲存、電郵、資料庫、付款及業務 SaaS。
- 閱讀各服務商的責任說明頁：確認哪些工作留在你一方。
- 製作簡單的責任表：寫明帳戶、修補、備份、監察和事故聯絡由誰處理——員工、IT 或雲端服務商。
- 先補好客戶一方基本措施：管理員啟用多重身份驗證、最小權限、儲存預設私人、備份經過測試。
- 有變動時重新檢視：新增服務、更換供應商或員工離職時。
常見問題
搬上雲端會令企業更安全嗎？
有機會，因服務商接手實體保安和基礎設施維護；但帳戶、資料和設定仍靠你一方管理。
每間服務商的分工都一樣嗎？
不一樣。概念相近，但分工因服務商、服務和合約而異，應查看其文件和服務條款。
如果 IT 外判，責任屬於誰？
雲端服務商一方不變。你一方可交給 IT 服務商，但應書面訂明誰修補、備份和監察；資料與決定權仍屬你的企業。
服務商會替我們備份資料嗎？
部分服務附有備份或復原功能，但範圍、保留期和還原方式各異；不少服務商視資料保護為客戶責任。應確認涵蓋範圍，必要時自行備份並測試還原。
如需協助釐清雲端設定由誰負責，或補上客戶一方缺口，可見網絡安全及合規服務。如需有既定回應時間的持續維護，可參考託管支援及 SLA 服務。