关于云计算安全责任模型的疑问

最近在制定《云计算安全扩展要求》的过程中有两个疑问：

（1）CSA制定的《云计算安全技术要求-总则》和其他国内外文献中将虚拟化资源划分给了IaaS层，等保2.0划给了PaaS层，个人觉得应该是划给IaaS更合理；

（2）按照《云计算安全技术要求》中的《云服务类别与资源控制范围的关系2》中描述，只存在以下几种商业模式：

（2.1）独立IaaS 提供商

（2.2）独立PaaS提供商

（2.3）独立SaaS提供商

（2.4）使用第三方IaaS服务的PaaS提供商

（2.5）使用第三方IaaS服务的SaaS提供商

请问是否存在租用PaaS资源来部署SaaS服务的商业模式？

 

希望各位学识渊博的朋友可以指点迷津，对云计算安全感兴趣的同学可以在博客私信我，一起做一个真正精确有用安全标准，为云计算方面的开发者，服务商以及用户提供一份好的checklist。