La scelta del modello di infrastruttura cloud — pubblico, condiviso tra molteplici clienti su risorse comuni del fornitore; privato, dedicato in via esclusiva a un singolo cliente; o ibrido, con una combinazione delle due soluzioni — non è solo una decisione di natura tecnica o economica, ma incide direttamente sul profilo di rischio giuridico complessivo dell'impresa.
Il cloud pubblico offre generalmente costi più contenuti e scalabilità immediata, ma comporta una minore visibilità e capacità di audit diretto sull'infrastruttura sottostante, condivisa con altri clienti del medesimo fornitore, un elemento che può risultare problematico per imprese soggette a obblighi di verifica specifici, come quelle del settore finanziario sotto DORA.
Il cloud privato, pur più costoso, offre un maggiore controllo diretto e una capacità di audit più approfondita, elemento spesso richiesto da normative settoriali specifiche o da controparti contrattuali particolarmente esigenti in termini di garanzie sulla sicurezza e sulla localizzazione dei dati trattati.
Il modello ibrido, sempre più diffuso nella pratica, richiede una mappatura precisa di quali dati e processi risiedono su quale componente dell'infrastruttura, perché il profilo di rischio giuridico complessivo dell'impresa dipende dalla combinazione specifica delle due soluzioni, non da una valutazione generica applicabile all'intera infrastruttura nel suo complesso.