云安全审计及相关文献述评

陈希晖（副教授/博士） 侯良格（南京审计大学政府审计学院 江苏南京 211815）

一、引言

审计人员与信息安全人员对“云审计”的看法各有不同，审计人员将云审计理解为借助云计算、大数据等技术提高审计取证的效率与质量，信息安全人员则认为云审计是指对“云”中利益相关者交互关系的审计。从技术上看，将“审计技术”搭载在云端的模式早已能够实现，但困扰云审计发展的还是安全问题。云审计不仅仅是利用“云”进行审计工作，更需要将“审计思维”——监督机制，运用在云计算安全问题上，实现对云数据存储、隐私安全、操作过程及基础设施合规性的审计验证。

云存储作为云计算不可或缺的一部分，以多租户的服务模式为个人和组织提供大规模、分布式的存储服务。公有云存储凭借规模效应、弹性可扩展、经济高效的优势吸引着云用户将数据外包给云供应商管理。但当我们只关注数据安全性时不难发现，数据外包虽然减轻了数据所有者（云用户）本地存储和维护的负担，但同时也弱化了云用户对数据的物理控制。由于数据异地存储的特性，云服务器上的数据时刻面临着内部和外部的攻击，数据的完整性、机密性、可用性可能遭受严重的损害，传统的本地数据安全保护措施已不可直接使用。

云安全审计模式分为私有审计和第三方审计。两种审计模式的区别在于，私有审计是云用户自己检验数据的完整性，只涉及云服务用户和云服务供应商两类实体。……