当前，我国电子政务安全形势异常严峻。2014年10月，国家互联网信息办公室主任鲁炜指出，我国80%的政府网站都曾受到过攻击，每个月有1万多个网站被篡改，地方政府网站成为黑客篡改的“重灾区”。2016年11月，中国电信北京研究院发布的《2016年上半年中国网站安全报告》指出，政府存在较多网络安全问题，漏洞的行政属性较为明显，区县及以下单位问题最多，合计有25万个高危漏洞，其次是各省市级单位，共曝出10万个高危漏洞，可以明确看到区县及以下级别单位的漏洞数量要明显高于部委、集团、省市级单位。在大数据时代，政府公共管理信息呈现数据量大、非结构数据占比增加以及数据类型繁多等特点，政务云处理日益复杂。Crowd Research发布的《2017年云安全报告》指出，安全人员不合格、安全工具滞后以及多样化安全问题对云安全管理提出挑战，数据泄露事件达到历史最高水平。2016年至今，《国家电子政务“十三五”规划》以及国家标准《云计算数据中心基本要求》相继发布，其目的是建立完善政府信息系统安全管理制度规范，防范和化解云技术应用带来的潜在风险，制定政务部门计算机安全配置和审计制度，建立云安全检查制度，加强信息安全检查工作力度，大力提高电子政务信息安全保障水平，提升云安全保障能力。基于此，在网络信息安全以及云计算安全受到极大威胁的今天，政务云安全审计问题亟待国内学者深入重视。 一、相关理论回顾 政务云是政府行业以电子政务为中心，依托云计算技术，将单个政务“信息孤岛”进行资源整合，实现集中存储、调度灵活、资源共享、统一监管与资源节约而建立的电子政务资源协同互动，并向电子政务用户推送按需服务的集约化云服务平台。政务云安全是云环境下电子政务稳健运行的根本保障，其关键目标是确保政务云系统自身的可控性、可靠性、安全性与一致性以及政务云服务资源的完整性、机密性、可用性与可核查性。近年来，有关云安全的理论研究主要集中于以下几方面：（1）云安全威胁。云管理员内部滥用可利用的安全漏洞以及不当的访问接口等诸多因素对云安全造成严重威胁，可以通过贝叶斯网络、网络层次分析和自适应数据分类等方法建立模型评价相关云威胁。（2）云安全技术。Lee等和张晓娟等分析国外云安全技术标准建设，林果园等与王于丁等研究基于云环境的访问控制技术框架，建立访问控制安全管理模型，Kim等、冯朝胜等与马友忠等分别探索基于云存储以及云数据索引等方面的安全技术和方法。（3）云安全服务。Gilbert等和闫莉等建立基于移动云计算的完整性检测模型，提出应用程序自动安全检测思路，Oberheide等和张伟等针对云环境发现蠕虫传播模型，提供N-版本云端反病毒服务，Chow等和王中华等设计云端与用户之间双向身份认证的实现方案，构架基于云用户的隐式认证框架。 我国有关政务云安全的理论研究相对缺乏，文献主要有姜茸等分析政务云的安全风险，程桂枝和章谦骅探索政务云安全技术，胡俊等设计电子云政务访问控制体系，李卫东等研究云政务资源的安全保障机制。政务云安全审计是以现代审计理念为核心，对政务云的内外在用户行为实施监督管理，对政务云处理步骤实施全过程追踪，记录政务云用户轨迹，检测滥用行为与安全漏洞，捕捉与监控各类政务云安全事件，提升政务云安全控制，完善政务云安全管理机制。目前，针对政务云安全审计的理论研究在我国尚未起步，如何将现代审计思想科学融入政务云安全理论建设之中，已成为DT时代审计学界亟待关注的问题。未来，政务云安全审计证据将大批量地以图片、音频、图像、视频以及HTML等方式呈现，且具有海量化特性，异构化大数据将对政务云安全审计的预处理、挖掘、分析与可视化等技术提出更高要求。在大数据时代，政务云安全审计实践将在我国广泛开展，其必然需要相关基础理论的广泛支撑。结合彭友的观点，本文认为政务云安全审计应实现的目标具体为：（1）挖掘内部政务云用户的滥用行为与误用行为；（2）定位与发现政务云外部攻击的反复性尝试行为；（3）细致记载政务云访问行为的全面数据，对超越安全机制的威胁行为进行取证，检测与评价安全保护机制的运行效果，并针对安全风险采取相应审计措施；（4）发现政务云系统下软件即服务（SaaS）、平台即服务（PaaS）和基础设施即服务（IaaS）等层面的安全漏洞，若相关要素遭到破坏，即须评估损失并进行系统恢复；（5）审查政务云数据资源的权属划分不清、信息泄露、安全监督缺位、技术处理以及可信度等风险，发现相关审计证据；（6）判断政务云安全控制制度设计的科学性与健全性，评价政务云安全控制制度执行的实时性与有效性。 二、政务云安全风险估计与例证阐释 （一）政务云安全风险分析 在大数据时代，政务云安全风险具有跨域渗透性、隐蔽关联性、泛在模糊性、交叉复杂性、集群风险性以及整体综合性等特征，对其开展审计管理必须综合各项风险因素。2006年2月，财政部发布《中国注册会计师执业准则》，提出“了解被审计单位及其环境并评估重大错报风险”，这标志着审计模式已由传统的风险导向审计转化为以风险分析为中心的现代风险审计。对于财务审计而言，重大错报风险涵盖控制风险、经营流程风险、会计风险与战略风险。然而，针对政务云安全审计，因目前尚不需要编制安全审计报表，故并不存在重大错报风险这一说法。但是，政务云安全存在误报与漏查等问题，尽管误漏事项并未以报表形式反映，但是它们却以安全报告等其他形式体现在政务云安全控制体系之中。借此，本文将引入财务审计中的重大错报风险，并将其修正为重大误漏风险，基于实施领域风险、技术领域风险、管理领域风险与控制领域风险等层面对政务云风险体系实施评估。
