在信息化环境下，信息系统及其数据已成为一个单位的重要资产，为保证信息系统的安全性、可靠性和有效性等，开展信息系统审计意义重大。目前，信息系统审计大多围绕一般控制、应用控制和IT治理等方面开展，信息系统项目建设及其绩效情况正逐渐成为信息系统审计的重要内容。 随着云计算、大数据技术的飞速发展，云计算、大数据应用越来越广泛。我国高度重视云计算应用。为推动企业利用云计算，2015年1月，国务院印发《关于促进云计算创新发展培育信息产业新业态的意见》。与此同时，大数据、云计算的应用也对信息系统的安全性和可靠性产生了一定影响。为了适用于新型网络系统的安全保护要求，2019年5月，国家市场监督管理总局、中国国家标准化管理委员会发布了《信息安全技术网络安全等级保护基本要求》，将云计算平台等作为等级保护对象。可见，在充分利用云计算优势的同时，防范化解云计算应用带来的风险越来越重要，云计算系统（或云计算平台）审计也成为信息系统审计的一项重要内容。尽管目前已有一些关于大数据环境下信息系统审计方法以及关于如何借助云计算环境开展审计的研究，如基于大数据技术的信息系统用户及权限管理审计研究、云计算环境下的联网审计实现方法等，但仍缺少直接针对云计算系统（或云计算平台）审计的研究。本文结合云计算与信息系统审计的研究与应用现状，以某科技云审计项目为例，探讨如何开展云计算系统（或云计算平台）审计。 云计算的内涵及特点 云计算是指通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自助获取和管理资源的模式，是信息化发展的重大变革和必然趋势。 云计算三个层次的服务模式有：软件服务，为用户提供应用软件服务，用户不需要配备IT人员；平台服务，为用户提供运行应用软件的环境，用户需要维护自己的应用软件；设施服务，为用户提供运行应用软件的环境，用户需要配备系统管理员、数据库人员和开发人员等技术人员。 云计算主要具有以下特点：一是可提供动态变化的计算环境。云计算平台能够按需对服务进行配置和管理，可以支持不同类型、不同需求的应用，并根据需要分配资源，灵活性强。 二是数据存储能力强大。云计算平台可提供海量存储环境，能够按需进行数据存取，支持海量数据管理和存储业务。 三是减少了相关成本。使用云计算可以极大地提高硬件利用率，并在极短时间内升级到巨大容量，无须用户投资构建新的基础设施、培训新员工、频繁升级软件，从而节约成本、提高效率。 四是能够实现强大、高效的数据处理能力。云计算在实施用户需要的信息计算处理时，可将庞大的计算处理程序拆分成无数个子程序，然后将这些子程序交由多部服务器组成的庞大系统进行搜索和计算分析，最后直接将处理结果回传给用户，这一过程可在极短的时间内完成。 五是能够提供专业高效和相对安全的数据存储。好的云计算供应商能够提供专业高效和相对安全的数据存储服务，用户运用云计算技术将数据存储在云平台中，相对于自行管理存储数据，能在一定程度上解决因各种安全问题导致的数据丢失问题。 云计算系统审计主要内容分析 审计人员在开展云计算系统审计过程中，可按照信息系统审计要求，根据被审计单位云计算系统的不同安全等级，主要关注以下内容。 （一）检查云计算平台及数据的物理地点 检查被审计单位的云计算基础设施是否位于我国境内；检查被审计单位云计算平台的运维地点是否位于我国境内，若是在境外，对境内云计算平台实施运维操作是否严格遵守国家相关规定；检查被审计单位云计算平台是否能保证云服务客户数据、用户个人信息等存储于我国境内，如需出境是否按照国家相关规定执行。 （二）检查被审计单位与云计算供应商协议签订情况 检查被审计单位在选择云服务商时，是否在协议中规定了云服务的各项服务内容和具体技术指标；是否在服务协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；是否在协议中规定服务合约到期时，要求云服务商完整提供客户数据，并承诺相关数据在云计算平台上清除；是否与选定的云服务商签署保密协议，要求其不得泄露客户数据；检查云服务商能否为被审计单位将业务系统及数据迁移到其他云计算平台和本地系统提供技术支持和帮助。 （三）检查被审计单位的数据安全控制情况 检查被审计单位在使用云计算系统时，是否在本地保存业务数据的备份；检查被审计单位云计算平台能否保证只有在云服务客户授权下，云服务商或第三方才具有客户数据的管理权限；检查被审计单位的云计算系统是否承载了高于其安全保护等级的业务应用系统；检查被审计单位云计算平台是否在远程管理过程中建立双向身份验证机制，确保当远程管理云计算平台设备时，管理终端和云计算平台之间建立了双向身份验证机制。 检查被审计单位的云服务商是否确保虚拟机所使用的内存和存储空间回收时能得到完全清除；检查被审计单位的云服务商在云服务客户删除业务应用数据时，云计算平台是否能将云存储中所有副本删除；检查被审计单位的云服务商能否提供查询云服务客户数据及备份存储位置；检查被审计单位云服务商提供的云存储服务是否能保证客户数据存在若干个可用的副本，且各副本之间的内容保持一致；检查被审计单位能否确保云服务商对客户系统和数据的操作可被审计使用。
