Тут вообще вопрос готовности клиента доверять провайдеру будь то предоставляющего сервисы ISP или реализовавшему в полной мере концепцию MSSP.
На практике то получается что вопрос передачи прав как то умалчивается. Тут нужен четкий критерий передачи вместе с правами управления и передача ответственности на нарушение безопасности и последствий по инцидентам.
А в чем подмена?