El concepto de que los datos de una organización residen solo en una ubicación única y centralizada no suele aplicarse en la actualidad. Los datos se distribuyen en varias ubicaciones, muchas de las cuales no están bajo el control de la organización. El paradero de los datos es indiferente: la responsabilidad sobre los mismos sigue recayendo en las organizaciones de TI, al menos durante su transferencia. Este problema es más visible cuando se trata de aplicaciones de software como servicio (SaaS, por sus siglas en inglés), cuyo uso es difícil de controlar y cuya visibilidad es difícil de mantener con la seguridad tradicional. Dado que son los propios usuarios finales quienes configuran y utilizan las aplicaciones SaaS directamente, no es necesario ningún permiso para acceder a ellas o enviarles datos corporativos sensibles. Esto supone un reto importante para los usuarios finales, que actúan como sus propios departamentos de TI y controlan el uso de estas aplicaciones sin tener experiencia en la evaluación y prevención de riesgos de datos o amenazas.