ITaaS significa IT come servizio: un modello di erogazione in cui un provider gestisce per un cliente funzioni tecnologiche come infrastruttura, identità, supporto, endpoint, backup o operazioni cloud. Invece di possedere e gestire direttamente ogni sistema, il cliente utilizza tali funzioni tramite contratti, portali e controlli amministrativi condivisi.
Nella sicurezza informatica, ITaaS è importante perché concentra la fiducia. Un compromesso del provider può esporre molti clienti contemporaneamente, soprattutto se gli aggressori rubano credenziali, abusano degli strumenti di gestione remota o si spostano lateralmente attraverso integrazioni condivise. Gli aggressori prendono spesso di mira gli ambienti ITaaS per ottenere accesso ampio, sottrarre dati o estorcere denaro. I difensori dovrebbero applicare il privilegio minimo, separare l'amministrazione dei tenant, richiedere un'autenticazione forte, monitorare l'accesso del provider e testare la risposta agli incidenti in relazione alle dipendenze di terze parti. In pratica, la sicurezza di ITaaS è forte solo quanto lo sono i controlli di identità e i confini di fiducia che la sostengono.