Platform as a Service (PaaS) è un modello cloud in cui il provider gestisce gran parte del livello di piattaforma: server, sistema operativo, middleware, runtime, patching e scaling. Il cliente si concentra sull'applicazione, sulla sua configurazione, sulle identità, sui secret e sui dati che elabora. Questo riduce il lavoro sull'infrastruttura, ma non elimina la responsabilità di sicurezza.
PaaS è importante perché gli attaccanti spesso prendono di mira le parti che il cliente controlla ancora. Policy di accesso deboli, chiavi API esposte, codice non sicuro, storage configurato male o logging insufficiente possono portare a furto di dati o abuso del codice anche quando la piattaforma è completamente gestita. I difensori usano PaaS per ridurre l'onere delle patch e ускорare la distribuzione, ma hanno comunque bisogno di privilegio minimo, archiviazione sicura dei secret, validazione degli input e logging di audit. In pratica, la sicurezza PaaS consiste nel comprendere il confine: il provider mette in sicurezza il servizio, mentre il cliente protegge ciò che vi gira sopra e ciò che vi archivia.