IaaS, PaaS e SaaS: differenze, esempi e come scegliere

Cosa sono IaaS, PaaS e SaaS?

Il NIST, l'istituto statunitense degli standard, ha fissato nel settembre 2011 i tre modelli di servizio del cloud computing: infrastruttura, piattaforma e software forniti come servizio. La definizione sta nella NIST SP 800-145, di Peter Mell e Tim Grance. Per il NIST il cloud è un modello con cinque caratteristiche essenziali: self-service su richiesta, accesso via rete, risorse in pool condivise fra più clienti, elasticità rapida e servizio misurato. A queste si aggiungono tre modelli di servizio e quattro di distribuzione.

Per ciascun modello il NIST indica che cosa controlla il cliente:

• IaaS, cioè infrastructure as a service (infrastruttura come servizio): il cliente ottiene calcolo, storage, rete e altre risorse di base, e vi installa ed esegue il software che vuole, sistemi operativi compresi. Non gestisce l'infrastruttura sottostante; controlla sistemi operativi, storage e applicazioni e, in parte, alcuni componenti di rete, come il firewall delle macchine.
• PaaS, cioè platform as a service (piattaforma come servizio): il cliente installa sulla piattaforma applicazioni proprie o acquistate, scritte con linguaggi, librerie e strumenti che il fornitore supporta. Non gestisce rete, server, sistemi operativi e storage; controlla le applicazioni e, in parte, le impostazioni dell'ambiente che le ospita.
• SaaS, cioè software as a service (software come servizio): il cliente usa le applicazioni del fornitore, dal browser o da un programma. L'esempio del NIST è la posta via web. Non gestisce né l'infrastruttura né le funzioni dell'applicazione, salvo impostazioni limitate per utente.

Gli stessi modelli compaiono nel diritto europeo: il considerando 81 del Regolamento (UE) 2023/2854, il Data Act, li indica come i tre modelli di fornitura dei servizi di trattamento dei dati.

Qual è la differenza tra IaaS, PaaS e SaaS?

Passando dall'IaaS al PaaS al SaaS il fornitore gestisce una parte crescente dello stack; dati, configurazioni e utenti sono a carico del cliente in tutti e tre. La ripartizione si basa sulle definizioni del NIST e sulla matrice di responsabilità della guida Shared responsibility in the cloud di Microsoft Learn, aggiornata il 24 agosto 2026.

Per ogni riga della tabella si verifica nel contratto chi ne è responsabile, comprese le attività condivise.

La stessa guida di Microsoft considera l'applicazione una responsabilità condivisa nel PaaS e nel SaaS: il fornitore gestisce parte dello stack applicativo, mentre il cliente risponde di configurazione, sicurezza del codice e controllo degli accessi.

Esempi: quali servizi sono IaaS, PaaS o SaaS?

Il nome commerciale di un'offerta non indica il modello: lo indica chi controlla sistema operativo e applicazione, il criterio del NIST.

Per l'IaaS, l'infrastruttura cloud di Rackone si basa su Proxmox Virtual Environment (Proxmox VE), piattaforma di virtualizzazione open source, in cluster ridondati. Le Cloud VPS sono macchine virtuali Linux o Windows. Nella versione unmanaged arrivano con il solo sistema operativo preinstallato, si gestiscono dal pannello (avvio, arresto, riavvio, console) e non comprendono assistenza sistemistica. Il Virtual Private Cloud riserva a un cliente un pool di vCPU, RAM e storage NVMe, con rete privata, firewall, console self-service, API e Terraform. La gestione dei sistemi operativi e delle applicazioni dentro le macchine è fuori dal servizio: spetta al cliente o al servizio sistemistico.

L'hosting gestito funziona come un PaaS. Il cliente carica il sito o l'applicazione e usa i linguaggi messi a disposizione dal fornitore: sui piani hosting di Rackone sono PHP, Python e Node.js, con il database MariaDB. Server e sistema operativo sono gestiti dal fornitore e sull'hosting condiviso non c'è accesso SSH. Su tutti i piani, dal pannello cPanel, il cliente sceglie la versione di PHP per ogni dominio e modifica il php.ini: rientrano nelle impostazioni dell'ambiente che il NIST lascia al cliente nel PaaS.

Sono SaaS Microsoft 365 (applicazioni Office e posta Exchange in abbonamento), Google Workspace e CloudMail; CloudMail offre caselle email sul dominio del cliente, in data center in Italia. Rackone offre tutti e tre i servizi e, per Microsoft 365, gestisce licenze, attivazione e migrazione delle caselle. La guida di Microsoft cita proprio Microsoft 365 come esempio di SaaS.

I servizi a metà strada

Molte offerte reali stanno fra due modelli, e la sigla pesa meno della riga del contratto che indica chi applica le patch.

Una VPS managed è IaaS con in più la gestione sistemistica: un sistemista Rackone configura il sistema operativo, applica patch e aggiornamenti di sicurezza e installa il software richiesto. Il fornitore gestisce quindi il sistema operativo, mentre macchina e applicazioni sono del cliente. La pagina di servizio la chiama «IaaS gestito».

La Cloud App è una VPS a uso esclusivo, consegnata con un'applicazione open source già installata e configurata, scelta da un catalogo che comprende per esempio Nextcloud, Odoo e GitLab. Le patch di sicurezza le applica Rackone, mentre gli aggiornamenti a una major release si concordano con il cliente dopo un backup. Il cliente ha accesso root via SSH e il backup giornaliero è incluso. Per chi la usa somiglia a un SaaS, ma macchina e dati sono del cliente: Rackone stessa la descrive «a metà strada».

Vantaggi e limiti di ciascun modello

Nell'IaaS le patch del sistema operativo sono a carico del cliente o di un servizio gestito; nel SaaS il cliente accetta le personalizzazioni previste dal fornitore. La tabella mette a confronto controllo, attività di gestione e vincoli di ciascun modello.

Chi risponde della sicurezza e dei dati?

La protezione dei dati è a carico del cliente in tutti e tre i modelli. La guida di Microsoft sulla responsabilità condivisa, aggiornata il 24 agosto 2026, attribuisce al cliente la protezione di dati e identità in ogni tipo di distribuzione cloud. Sempre secondo la guida, al cliente spettano la classificazione dei dati, la protezione e le scelte di cifratura, i dispositivi da cui si accede, gli account degli utenti e la gestione degli accessi, autenticazione a più fattori compresa.

Nel SaaS il fornitore risponde del servizio, ma una copia dei dati indipendente dal servizio, con i relativi test di ripristino, è una scelta del cliente. Per Microsoft 365 e Google Workspace Rackone offre un backup gestito con Acronis.

Su una VPS unmanaged le patch del sistema operativo spettano al cliente. Se in azienda non c'è chi le applica, serve un servizio gestito.

Prima di firmare si verifica che il contratto riporti per iscritto:

• chi applica le patch del sistema operativo;
• chi aggiorna l'applicazione;
• chi esegue i backup e chi prova i ripristini;
• chi gestisce utenti e accessi.

Quanto costano e come si pagano?

La base di fatturazione cambia con il modello: risorse nell'IaaS, piano nel PaaS, utente o casella nel SaaS. Un confronto dei costi annui comprende anche la gestione a carico del cliente.

Nell'IaaS si pagano le risorse. Le Cloud VPS hanno un canone per taglio, con cinque tagli Linux: la VPS U1, con 1 vCore, 1 GB di RAM e 25 GB di SSD, costa € 6,40 /mese a listino, IVA esclusa. Nel Virtual Private Cloud il pool riservato si paga a canone fisso (Allocation) oppure a consumo, a ore e senza canone minimo (Pay Per Use).

La stessa VPS U1 nella versione managed costa € 176 /mese a listino, IVA esclusa. Nel confronto fra le due versioni della VPS U1 la gestione pesa sul canone più delle risorse.

Il PaaS e il SaaS si pagano a canone: per l'hosting di Rackone è annuale, in base al piano scelto, IVA esclusa; per il SaaS è mensile, per utente (Microsoft 365) o per casella (CloudMail).

Sulle Cloud VPS e sul Virtual Private Cloud di Rackone il canone comprende il traffico in entrata e il traffico in uscita (egress), senza voci da pagare a parte.

Si può cambiare fornitore? Lock-in e Data Act

Passando dall'IaaS al PaaS al SaaS, cambiare fornitore dipende sempre più dalle interfacce e dai formati del servizio in uso: è il lock-in. Nell'IaaS si spostano macchine virtuali con il loro sistema operativo. Nel PaaS il codice usa i servizi della piattaforma. Nel SaaS il cliente recupera i dati nei formati che il fornitore permette di esportare.

Il Data Act, del 13 dicembre 2023, si applica dal 12 settembre 2025 e all'articolo 30 distingue il passaggio fra fornitori secondo il modello. Per i servizi limitati all'infrastruttura (server, reti, risorse virtuali, senza accesso alle applicazioni installate) il fornitore adotta tutte le misure ragionevoli perché il cliente, passando a un servizio dello stesso tipo, raggiunga l'equivalenza funzionale. Per gli altri servizi mette a disposizione gratis interfacce aperte, uguali per tutti i clienti e per i fornitori di destinazione, per la portabilità e l'interoperabilità dei dati.

L'articolo 29 limita le tariffe di passaggio in due tempi. Dall'11 gennaio 2024 al 12 gennaio 2027 il fornitore può chiedere solo tariffe ridotte, non superiori ai costi diretti del passaggio; dal 12 gennaio 2027 non può chiederne nessuna. La definizione dell'articolo 2 comprende anche le tariffe di uscita dei dati, cioè gli addebiti per il traffico necessario a trasferire i dati a un altro fornitore o ai propri sistemi. Prima del contratto il fornitore deve dare informazioni chiare su spese standard, penali di recesso anticipato e tariffe di passaggio ridotte (articolo 29, paragrafo 4).

Prima di firmare si chiede per iscritto in che formato si esportano dati e macchine e quanto costa uscire. Il riepilogo è informativo e non sostituisce una consulenza legale: per un contratto valgono il testo del regolamento e le condizioni firmate con il fornitore.

Come si sceglie il modello giusto?

Si parte dall'applicazione e dalle competenze interne, non dalla sigla.

• Se un'applicazione pronta svolge già la funzione richiesta (posta, documenti, collaborazione), il SaaS è la strada: il fornitore gestisce l'applicazione, mentre vanno verificati dove stanno i dati, come si esportano e chi fa il backup.
• Se l'applicazione è propria (un sito, un'applicazione web) e non serve controllare il sistema operativo, bastano un PaaS o un hosting gestito.
• Se serve il controllo del sistema operativo (un gestionale che richiede un certo sistema o una versione precisa del database, un software con licenza legata alla macchina, un'applicazione da spostare senza riscriverla), serve l'IaaS.
• Se in azienda manca chi amministra i sistemi, l'IaaS si affianca a un servizio gestito, oppure si sceglie un'applicazione gestita come Cloud App.
• Se interessa dove stanno i dati, con l'IaaS si sceglie il data center: la rete Edge di Rackone comprende dieci data center in Italia e in Europa, uno di proprietà a Venezia, a Noventa di Piave, e nove di partner. Non tutti i servizi sono disponibili in tutti i siti: la disponibilità si verifica prima di attivare.

Per esempio, un'azienda manifatturiera con due sedi potrebbe tenere posta e documenti in Microsoft 365 (SaaS), il sito su un hosting gestito (PaaS) e il gestionale con il suo database su macchine virtuali in un Virtual Private Cloud (IaaS). Con tre modelli nella stessa azienda, la scelta si fa per applicazione.

Da dove partire

Rackone offre servizi in tutti e tre i modelli: per l'IaaS Cloud VPS e Virtual Private Cloud su Proxmox VE, di cui siamo Gold Partner; per il PaaS l'hosting web gestito; per il SaaS Microsoft 365, Google Workspace e CloudMail, più le Cloud App a metà strada.

Partiamo da un dimensionamento, non da un listino. Risponde un sistemista e proponiamo le risorse che servono, anche quando la risposta è restare dove si è. Per l'azienda si parte dalle applicazioni e dalle competenze interne. Poi si individuano le attività da affidare al fornitore e si scrivono nel contratto le responsabilità di ciascuna parte.

Parla con un esperto di infrastruttura cloud

Domande frequenti

Una VPS è IaaS o PaaS?

Una VPS è IaaS. Secondo il NIST, nell'IaaS il cliente controlla sistema operativo, storage e applicazioni, e una VPS dà al cliente il controllo del sistema operativo, con accesso root. Una VPS managed è ancora IaaS: il fornitore gestisce anche il sistema operativo, ma macchina e applicazioni sono del cliente. Le Cloud VPS di Rackone sono eseguite su cluster Proxmox VE.

L'hosting web è un PaaS?

Sì, per la divisione dei compiti: nell'hosting gestito il cliente carica il sito e ne imposta l'ambiente, come nella definizione NIST di PaaS, mentre server e sistema operativo sono gestiti dal fornitore. Sull'hosting di Rackone il cliente sceglie da cPanel la versione di PHP per ogni dominio e modifica il php.ini; sull'hosting condiviso non c'è accesso SSH.

Microsoft 365 è un SaaS?

Sì, Microsoft 365 è un SaaS: sono applicazioni del fornitore, usate da browser, programma desktop o app, e Microsoft stessa lo cita come esempio di SaaS nella sua guida alla responsabilità condivisa. Utenti, accessi, configurazioni e dati sono a carico del cliente. Rackone rivende Microsoft 365 e ne gestisce licenze, attivazione e migrazione delle caselle.

Chi è responsabile dei dati in un servizio SaaS?

In un servizio SaaS i dati sono del cliente. La guida di Microsoft (agosto 2026) indica che, in ogni tipo di distribuzione cloud, il cliente è responsabile della protezione di dati e identità. Il fornitore risponde del servizio; una copia indipendente dei dati, con i test di ripristino, è una scelta del cliente. Per Microsoft 365 e Google Workspace Rackone offre un backup gestito con Acronis.

Si possono usare IaaS, PaaS e SaaS insieme?

Sì, i tre modelli si usano insieme anche nella stessa azienda: la scelta si fa per applicazione. Per esempio, posta in SaaS, sito su hosting gestito e gestionale su macchine virtuali. Si verifica che il contratto di ogni servizio indichi chi gestisce sistema operativo, aggiornamenti, backup e accessi.

Quale dei tre modelli costa meno?

Nessuno dei tre modelli costa meno in assoluto: il confronto è attendibile solo se include la gestione. Nell'IaaS il canone paga le risorse, mentre sistema operativo, patch e backup sono a carico del cliente o si pagano come servizio gestito. Nel SaaS il prezzo comprende la gestione dell'applicazione, ma cresce con il numero di utenti. Conviene confrontare i costi annui con le stesse voci.

Esistono altri modelli oltre a IaaS, PaaS e SaaS?

Sì. Il considerando 81 del Data Act indica come varianti, per esempio, lo storage come servizio (Storage as a Service) e il database come servizio (Database as a Service), cioè combinazioni diverse di risorse. Lo Storage S3 di Rackone, un object storage compatibile S3 con versioning e object lock, è un esempio di storage come servizio.

IaaS vuol dire cloud privato?

No: l'IaaS è un modello di servizio, il cloud privato un modello di distribuzione, e il NIST li tiene distinti (tre modelli di servizio, quattro di distribuzione: privato, comunitario, pubblico, ibrido). Un IaaS può essere pubblico, con risorse condivise fra più clienti, o privato, riservato a una sola organizzazione. Le Cloud VPS di Rackone sono eseguite su infrastruttura condivisa, mentre il Virtual Private Cloud riserva al cliente un pool di risorse e una rete privata.