Infrastructure as a Service (IaaS) è un modello cloud in cui il provider fornisce il livello sottostante di elaborazione, storage, networking e virtualizzazione, mentre il cliente configura e mette in sicurezza i sistemi operativi, le applicazioni, i controlli di identità e gran parte del livello dati. Rispetto a SaaS o PaaS, IaaS offre ai team maggiore flessibilità, ma anche una maggiore responsabilità operativa.
Nel campo della sicurezza informatica, IaaS è importante perché molti attacchi hanno successo a causa di errori gestiti dal cliente piuttosto che per un guasto del provider. Interfacce di gestione esposte, credenziali deboli, security group eccessivamente permissivi, macchine virtuali non aggiornate e archiviazione configurata in modo errato sono modi comuni in cui gli ambienti IaaS vengono abusati. Chi difende usa il principio del privilegio minimo, immagini rinforzate, revisione continua della configurazione, registrazione dei log e segmentazione di rete per ridurre tale rischio. L'idea chiave è la responsabilità condivisa: il fornitore cloud mette in sicurezza la piattaforma, ma il cliente deve mettere in sicurezza ciò che costruisce sopra di essa.