Em Cloud Computing, as camadas de abstração são: IaaS, PaaS, SaaS.
Como o IaaS trata da parte física, como o Hardware de servidores e cabeamentos, cabe ao "provedor" proteger a infraestrutura básica de rede, pois é ele que tem acesso físico a todo o Hardware.
As camadas de abstração superiores (PaaS e SaaS) já se tratam de sistema/software e são gerenciadas pelo Usuário do Serviço, cabendo a este configurações de segurança e proteção.
Imagine um Banco de Dados "SaaS". Não cabe ao "provedor" da camada IaaS se preocupar com a senha do Administrador, por exemplo.
Pelo que entendi seria isso. Se a questão tivesse sido mais clara o gabarito seria ERRADO. Mas da forma que foi escrita, ficou muito "jogado", e o termo "camadas de abstração" ficou descontextualizado.
Fonte: https://www.gta.ufrj.br/ensino/eel879/trabalhos_vf_2009_2/seabra/arquitetura.html
Vejamos outro texto retirado do livro "Cloud Essentials - Guia preparatório para o Exame CLO-001":
"Infraestrutura como um serviço (Infraestructure as a Service - IaaS): é a capacidade que o provedor tem de oferecer uma infraestrutura de processamento e armazenamento de forma transparente e representa uma abstração da infraestrutura propriamente dita. neste cenário, o usuário não tem o controle da infraestrutura física, mas, através de mecanismos de virtualização, possui controle sobre as máquinas virtuais, o armazenamento, os aplicativos instalados e algum controle limitado sobre os recursos de rede."
Jefferson, poderia passar o texto do CSA que citou de onde a banca retirou a questão?