Il cloud computing è diventato il punto di riferimento per molte aziende che vogliono scalare le proprie infrastrutture senza investire in hardware proprietario. Dal 2011, l’istituto NIST ha definito tre modalità di erogazione del servizio: IaaS, PaaS e SaaS. Queste categorie non sono semplici sigle di marketing: indicano esattamente quali parti dell’architettura sono gestite dal provider e quali rimangono sotto il controllo del cliente, influenzando sicurezza, costi e flessibilità.
Modelli di servizio secondo il NIST
Il documento NIST SP 800-145 elenca cinque caratteristiche fondamentali del cloud – self-service, accesso via rete, risorse condivise, elasticità e fatturazione misurata – e associa ciascuna a tre modelli di erogazione. Nel modello IaaS (Infrastructure as a Service) il cliente riceve calcolo, storage e rete, installa il proprio sistema operativo e gestisce le applicazioni. Con PaaS (Platform as a Service) la piattaforma di esecuzione (linguaggi, librerie, database) è fornita dal provider, mentre l’utente sviluppa e carica le proprie applicazioni. Infine, SaaS (Software as a Service) mette a disposizione applicazioni già operative, fruibili da browser o client dedicati, senza che il cliente debba occuparsi di alcuna infrastruttura sottostante.
Chi controlla cosa: la matrice della responsabilità condivisa
Il passaggio da IaaS a PaaS e infine a SaaS comporta una crescente delega di compiti al provider. Tuttavia, la protezione dei dati resta sempre una responsabilità del cliente, come ribadito nella guida Microsoft sulla “shared responsibility” (aggiornata al 24 agosto 2026). Nella pratica, per un servizio IaaS il cliente gestisce sistema operativo, patch, backup e configurazione delle applicazioni. Con il PaaS il provider si occupa di sistema operativo e ambiente di esecuzione, mentre il cliente controlla il codice e le impostazioni specifiche. Nel SaaS il fornitore mantiene l’intera applicazione, ma il cliente è tenuto a gestire utenti, autenticazioni, policy di cifratura e a mantenere copie di sicurezza indipendenti.
Esempi concreti di distribuzione dei compiti
Una Cloud VPS non gestita è tipica di IaaS: il cliente riceve una macchina virtuale con accesso root, decide quale versione del sistema operativo installare e provvede a tutti gli aggiornamenti. Una VPS gestita aggiunge al pacchetto un servizio di amministrazione sistemistica; il provider applica le patch, ma la macchina e le applicazioni restano di proprietà del cliente. Un hosting web gestito rientra nel PaaS: il cliente carica il sito, sceglie la versione di PHP o di Python tramite pannello cPanel, mentre il provider cura server, OS e rete. Infine, Microsoft 365 o Google Workspace sono esempi classici di SaaS, dove l’utente accede a posta, documenti e collaborazione senza intervenire su alcun livello infrastrutturale.
Costi, lock-in e scelta del modello più adatto
I metodi di fatturazione variano in funzione del modello. Nel IaaS si paga per risorse (CPU, RAM, storage) e, se si opta per un servizio gestito, per la manutenzione aggiuntiva; ad esempio una VPS unmanaged da 1 vCore, 1 GB RAM e 25 GB SSD ha un canone mensile di circa € 6,40, mentre la stessa istanza con gestione sistemistica sale a € 176. Il PaaS prevede un canone fisso legato al piano di hosting, spesso annuale, che comprende aggiornamenti dell’ambiente di esecuzione. Per il SaaS il prezzo è tipicamente “per utente” o “per casella”, come nel caso di Microsoft 365. Oltre al prezzo, è cruciale considerare il lock-in: più alta è la dipendenza dal provider (ad esempio nel SaaS, dove i dati sono esportabili solo nei formati consentiti), più difficoltoso sarà cambiare fornitore. Il Data Act (UE 2023/2854) impone alle piattaforme di offrire interfacce aperte e tariffe di migrazione ridotte, ma è consigliabile verificare in anticipo i costi di uscita e i formati di esportazione.
Strategie per una scelta consapevole
Il punto di partenza è sempre l’analisi delle proprie applicazioni e delle competenze interne. Se è sufficiente una suite di produttività pronta all’uso, il SaaS è la scelta più rapida. Per un sito web o un’applicazione personalizzata che non richiede controllo sull’OS, un PaaS o un hosting gestito riduce la complessità operativa. Quando invece occorre mantenere un sistema legacy, una licenza legata all’hardware o una configurazione di database non standard, l’IaaS offre la libertà necessaria, eventualmente affiancato a un servizio gestito se le risorse interne sono limitate. Infine, la posizione dei data center è rilevante per la sovranità dei dati: con provider che operano in più sedi (ad es. dieci data center in Italia e UE) è possibile scegliere il punto di memorizzazione più adatto alle normative locali.
La chiave per sfruttare al meglio il cloud è comprendere quale parte dell’architettura si desidera delegare, valutare i costi operativi complessivi e assicurarsi che il contratto specifichi chi applica patch, gestisce backup e controlla accessi. Solo così è possibile bilanciare flessibilità, sicurezza e sostenibilità economica.
