Un cliente ha un contratto con un CSP e desidera identificare quali controlli dovrebbero essere implementati nell'enclave IaaS. Quale dei seguenti documenti contiene più probabilmente queste informazioni?

La matrice delle responsabilità (Responsibility Matrix o RACI matrix) è lo strumento più appropriato per identificare quali controlli di sicurezza debbano essere implementati e da chi, in un ambiente IaaS. Essa definisce chiaramente i ruoli e le responsabilità tra il cliente e il Cloud Service Provider (CSP) per ciascun controllo di sicurezza, garantendo che non ci siano lacune o sovrapposizioni. Il "Statement of work" (SOW) descrive l'ambito specifico del lavoro per un progetto o servizio, ma non dettaglia le responsabilità dei controlli. Il "Service-level agreement" (SLA) definisce i livelli di servizio attesi e le metriche di performance, ma non specifica chi è responsabile per l'implementazione dei controlli di sicurezza. Il "Master service agreement" (MSA) è un contratto quadro generale che stabilisce i termini e le condizioni generali per tutti i servizi futuri, ma non scende nel dettaglio delle responsabilità operative per i controlli di sicurezza specifici.