云計(jì)算時(shí)代的審計(jì)新挑戰(zhàn)

1、云計(jì)算時(shí)代的審計(jì)新挑戰(zhàn) “互聯(lián)網(wǎng) +”時(shí)代的到來，給會(huì)計(jì)行業(yè)帶來了前所未有的沖擊。云計(jì)算成為了 繼互聯(lián)網(wǎng)之后再次 “改變世界 ”的技術(shù)革命之一。 “構(gòu)建于互聯(lián)網(wǎng)上，利用云計(jì)算 技術(shù)和理念，為企業(yè)提供會(huì)計(jì)核算、會(huì)計(jì)管理和會(huì)計(jì)決策等內(nèi)容的會(huì)計(jì)信息化 基礎(chǔ)設(shè)施和服務(wù) ”，這樣的 “云會(huì)計(jì) ”或?qū)⒃谖磥沓蔀闀?huì)計(jì)領(lǐng)域中不可或缺的一 環(huán)。 世界正在改變。 “云計(jì)算 ”這一新的概念正在因其極大的便捷性和低廉的成 本迅速獲得企業(yè)和用戶的青睞，并逐漸向其他各行各業(yè)乃至社會(huì)生活的各個(gè)領(lǐng) 域滲透。 云計(jì)算創(chuàng)造的新商業(yè)模式，不斷影響互聯(lián)網(wǎng)以外的行業(yè)，并進(jìn)一步影響會(huì) 計(jì)、審計(jì)行業(yè)。云計(jì)算的發(fā)展在使企業(yè)管理更加便利的同時(shí)

2、，也帶來了許多新 的會(huì)計(jì)、審計(jì)問題。 云計(jì)算對(duì)商業(yè)模式的顛覆性創(chuàng)新和對(duì)會(huì)計(jì)業(yè)務(wù)的重大影響，將催生大量的 審計(jì)業(yè)務(wù)。審計(jì)技術(shù)、審計(jì)方法的每一次重大改進(jìn)，都是隨著商業(yè)模式的重大 變革而催生的。當(dāng)越來越多的企業(yè)提供云計(jì)算服務(wù)，越來越多的企業(yè)采用云計(jì) 算服務(wù)時(shí)，作為提供鑒證服務(wù)的審計(jì)方，面臨著嚴(yán)峻的挑戰(zhàn)。 評(píng)審云計(jì)算內(nèi)部控制所面臨的挑戰(zhàn)。對(duì)與云計(jì)算相關(guān)企業(yè)進(jìn)行審計(jì)時(shí)，首 先要評(píng)審與云計(jì)算相關(guān)企業(yè)的內(nèi)部控制，以決定實(shí)質(zhì)性測試的時(shí)間和數(shù)量。 目前，云計(jì)算中存在的數(shù)據(jù)丟失和泄露問題、云計(jì)算資源的濫用和非法使 用、不安全的服務(wù)接口和應(yīng)用程序編程接口、惡意的內(nèi)部用戶、共享云設(shè)施帶 來的安全隔離問題、賬戶和服務(wù)的

3、劫持問題、不能被用戶感知的風(fēng)險(xiǎn)態(tài)勢等， 都是內(nèi)部控制缺乏或沒有發(fā)揮作用的具體表現(xiàn)。云計(jì)算中的內(nèi)部控制問題已經(jīng) 成為制約其順利發(fā)展的主要瓶頸問題，是用戶質(zhì)疑和擔(dān)憂的主要原因。如果不 能解決云計(jì)算的內(nèi)部控制問題，用戶就不可能將重要業(yè)務(wù)和數(shù)據(jù)轉(zhuǎn)移到云計(jì)算 和云存儲(chǔ)平臺(tái)上面。 評(píng)審云計(jì)算內(nèi)部控制的目標(biāo)是對(duì)云計(jì)算內(nèi)部控制的有效性進(jìn)行評(píng)審，以確 認(rèn)云計(jì)算內(nèi)部控制的有效性。但是，云計(jì)算環(huán)境是一個(gè)多個(gè)用戶共享云設(shè)施的 環(huán)境，它所面臨的內(nèi)部控制是一個(gè)綜合系統(tǒng)，很難對(duì)云計(jì)算中單個(gè)企業(yè)進(jìn)行內(nèi) 部控制評(píng)審。與云計(jì)算相關(guān)的企業(yè)很多，而審計(jì)組織是接受委托或委派進(jìn)行審 計(jì)的，審計(jì)組織和審計(jì)人員不可能對(duì)云計(jì)算中的所有企業(yè)內(nèi)部

4、控制進(jìn)行評(píng)審 后，得出被審計(jì)企業(yè)內(nèi)部控制的有效性。 建設(shè)云審計(jì)平臺(tái)所面臨的挑戰(zhàn)。要實(shí)施云審計(jì)，審計(jì)組織應(yīng)建設(shè)云審計(jì)平 臺(tái)。建設(shè)云審計(jì)平臺(tái)是一項(xiàng)基礎(chǔ)性的工程，對(duì)促進(jìn)云計(jì)算的發(fā)展具有重要意 義。通過建設(shè)云審計(jì)平臺(tái)，可以提供綜合分析云計(jì)算服務(wù)的風(fēng)險(xiǎn)，客觀評(píng)價(jià)云 計(jì)算服務(wù)平臺(tái)的數(shù)據(jù)安全保護(hù)能力、業(yè)務(wù)持續(xù)性保證能力以及平臺(tái)和服務(wù)合規(guī) 性建設(shè)水平，為云計(jì)算服務(wù)的參與者準(zhǔn)確理解云服務(wù)的安全風(fēng)險(xiǎn)、持續(xù)風(fēng)險(xiǎn)以 及合規(guī)風(fēng)險(xiǎn)，合理調(diào)整云服務(wù)建設(shè)及應(yīng)用提供決策支持。云審計(jì)平臺(tái)主要包括 云審計(jì)用戶服務(wù)平臺(tái)和云審計(jì)企業(yè)服務(wù)平臺(tái)，既可提供面向云計(jì)算服務(wù)提供商 的信息審計(jì)服務(wù)，提升云平臺(tái)的安全保障能力；又可提供面向云計(jì)算服務(wù)

5、用戶 的信息監(jiān)管服務(wù)，消除用戶對(duì)云計(jì)算服務(wù)平臺(tái)安全性、可信性、合規(guī)性以及持 續(xù)性等方面能力的擔(dān)憂，提升云計(jì)算的用戶信任度。 云審計(jì)平臺(tái)應(yīng)通過自主研究開發(fā)的一套云審計(jì)通用數(shù)據(jù)接口，提供針對(duì)云 服務(wù)平臺(tái)和云數(shù)據(jù)中心的統(tǒng)一的接口規(guī)范和命名協(xié)議，建立一套開放、可擴(kuò)展 和安全的接口和技術(shù)方法。云計(jì)算服務(wù)提供者在云審計(jì)平臺(tái)中定義并加載這些 接口，就可以實(shí)現(xiàn)與云審計(jì)的無縫結(jié)合，云審計(jì)平臺(tái)利用這些接口可以實(shí)時(shí)地 對(duì)云計(jì)算相關(guān)業(yè)務(wù)單位進(jìn)行全面的審計(jì)，讓用戶了解在云平臺(tái)上發(fā)生的一切， 可以有效控制數(shù)據(jù)在云中面臨的風(fēng)險(xiǎn)。 而在我國現(xiàn)實(shí)情況下，要在各個(gè)不同的審計(jì)組織中建設(shè)云審計(jì)平臺(tái)，不僅 面臨著審計(jì)經(jīng)費(fèi)不足而需要投入

6、大量資金建設(shè)的挑戰(zhàn)，而且還面臨著審計(jì)人員 知識(shí)水平不能滿足要求和能力不能適應(yīng)工作需要的挑戰(zhàn)。 實(shí)施信息安全審計(jì)所面臨的挑戰(zhàn)。從云計(jì)算本身帶來的風(fēng)險(xiǎn)來說，當(dāng)前主 要考慮兩個(gè)層面：一個(gè)是云基礎(chǔ)設(shè)施的安全性，一個(gè)是數(shù)據(jù)的安全性。因此， 實(shí)施與云計(jì)算相關(guān)的信息安全審計(jì)應(yīng)主要在這兩個(gè)方面進(jìn)行。 審計(jì)云基礎(chǔ)設(shè)施的安全性，是基于把數(shù)據(jù)資源放在云中，用戶會(huì)擔(dān)心數(shù)據(jù) 的存儲(chǔ)和使用的安全性。除了應(yīng)審計(jì)數(shù)據(jù)的安全備份之外，還應(yīng)審計(jì)云平臺(tái)本 身的效率。 審計(jì)數(shù)據(jù)的安全性，包括審計(jì)信息系統(tǒng)的安全性。云計(jì)算數(shù)據(jù)和信息系統(tǒng) 的安全性對(duì)于運(yùn)行維護(hù)、安全事件追溯、取證調(diào)查等方面來說極為重要，云計(jì) 算系統(tǒng)應(yīng)通過建立安全系統(tǒng)，進(jìn)行

7、統(tǒng)一、完整的分析，通過對(duì)操作、維護(hù)等各 類云計(jì)算系統(tǒng)日志的安全，提高對(duì)違規(guī)事件的事后審查能力。 第一，應(yīng)建立完善的云計(jì)算系統(tǒng)日志記錄及審核機(jī)制，日志的內(nèi)容應(yīng)包括 用戶ID、操作日期及時(shí)間、操作內(nèi)容、操作是否成功等。 第二，應(yīng)采取有效措施，確保云計(jì)算用戶活動(dòng)日志的準(zhǔn)確性和完整性。云 計(jì)算所有重要系統(tǒng)時(shí)鐘時(shí)間應(yīng)保持同步，以真實(shí)記錄系統(tǒng)訪問及操作情況，及 時(shí)將云計(jì)算平臺(tái)生成的各類日志備份到專用日志服務(wù)器或安全介質(zhì)內(nèi)，采用監(jiān) 控軟件保證用戶活動(dòng)日志的一致性與完整性。 目前在我國，云審計(jì)還處于剛剛起步的階段，云計(jì)算本身還比較飄渺，審 計(jì)人員要實(shí)施云計(jì)算信息安全審計(jì)，將面臨著重大的挑戰(zhàn)。同時(shí)，云審計(jì)只有

8、伴隨著云基礎(chǔ)設(shè)施的發(fā)展而不斷發(fā)展，如果云審計(jì)沒有跟上云計(jì)算平臺(tái)和云審 計(jì)平臺(tái)的建設(shè)，會(huì)給云審計(jì)帶來巨大的審計(jì)風(fēng)險(xiǎn)。 搜集審計(jì)證據(jù)所面臨的挑戰(zhàn)。審計(jì)人員在審計(jì)過程中，應(yīng)根據(jù)充分、適當(dāng) 的審計(jì)證據(jù)發(fā)表審計(jì)意見，出具審計(jì)報(bào)告。但是，在云計(jì)算環(huán)境下，審計(jì)人員 面臨難以搜集到充分、適當(dāng)?shù)膶徲?jì)證據(jù)的重大挑戰(zhàn)。在云計(jì)算環(huán)境下，審計(jì)人 員能搜集到的審計(jì)證據(jù)大多是電子證據(jù)。電子證據(jù)本身就非常復(fù)雜，云計(jì)算使 取證更加困難。首先，在云計(jì)算環(huán)境下，數(shù)據(jù)通過互聯(lián)網(wǎng)存儲(chǔ)和交付，審計(jì)證 據(jù)也只能在互聯(lián)網(wǎng)絡(luò)中取得。一般情況下，數(shù)據(jù)在全球范圍內(nèi)進(jìn)行流動(dòng)，數(shù)據(jù) 的擁有者不能控制數(shù)據(jù)的流動(dòng)，也無法掌握數(shù)據(jù)的存儲(chǔ)位置。 審計(jì)人員在進(jìn)

9、行云審計(jì)時(shí)，可能無法確切地知道作為審計(jì)證據(jù)的數(shù)據(jù)到底 被托管在什么地方，甚至不知道這些作為審計(jì)證據(jù)的數(shù)據(jù)存放在哪個(gè)國家。 其次，作為審計(jì)證據(jù)的數(shù)據(jù)在云中通常是處在云計(jì)算服務(wù)提供商和其他客 戶的數(shù)據(jù)共享的環(huán)境中，云計(jì)算服務(wù)提供商提供的證據(jù)，有可能導(dǎo)致數(shù)據(jù)完全 無法使用，也可能使數(shù)據(jù)的可用性變得相當(dāng)復(fù)雜。再次，審計(jì)人員常使用調(diào)查 方法搜集審計(jì)證據(jù)。但在云計(jì)算環(huán)境下，審計(jì)人員特別難于進(jìn)行調(diào)查取證，因 為多個(gè)客戶的日志記錄和數(shù)據(jù)可能存放在同一地點(diǎn)，也可能遍布在不斷變化的 一組主機(jī)和數(shù)據(jù)中心。如果不能得到合同的承諾，以支持特定形式的調(diào)查，那 么審計(jì)人員依靠調(diào)查方法搜集審計(jì)證據(jù)將是不可能的。最后，云計(jì)算同

10、時(shí)為多 個(gè)企業(yè)提供服務(wù)，同時(shí)記錄了多個(gè)企業(yè)使用云計(jì)算的情況，當(dāng)某一個(gè)企業(yè)需要 被審計(jì)時(shí)，這種多個(gè)企業(yè)使用云計(jì)算的日志被記錄在一起的情況增加了審計(jì)調(diào) 查的難度，甚至有可能存在審計(jì)調(diào)查無法進(jìn)行的風(fēng)險(xiǎn)。 實(shí)施審計(jì)程序所面臨的挑戰(zhàn)。云計(jì)算應(yīng)用的核心是信任，信任是云計(jì)算應(yīng) 用的基礎(chǔ)。但是，信任卻是有待驗(yàn)證的。企業(yè)應(yīng)該讓自身、管理者、客戶、股 東及其他利益相關(guān)者清楚地知道，其如何選擇、實(shí)施、安排和管理云計(jì)算應(yīng) 用，如何降低風(fēng)險(xiǎn)并消除未來的不確定因素。當(dāng)前的云計(jì)算環(huán)境充滿了不確定 因素，如不進(jìn)行審計(jì)，則只能完全相信云計(jì)算的服務(wù)供應(yīng)商提供的各類信息。 因此，針對(duì)云計(jì)算應(yīng)用減少其不確定性的方法之一，就是實(shí)施有效的審計(jì)程 序。 但是，在云計(jì)算現(xiàn)實(shí)環(huán)境下，全球主要的云計(jì)