Architektura Cisco Cloud Web Security (dawniej ScanSafe) jest taka, że to urządzenia sieciowe (router, firewall) przekazują trafik do chmury, a nie oprogramowanie zainstalowane na hoście.

Wyjątkiem są pracownicy mobilni, u których to klient remote access VPN AnyConnect pełni funkcję przekazującego trafik do silnika w chmurze. Przy czym warto zauważyć, że AnyConnect zrobi to na podstawie profilu (Connection Profile) skonfigurowanego na Firewallu lub routerze, z którym się łączy.