随着科技技术的发展和创新，云计算服务对于大多数行业，已经不是一个初次见面的词汇，使用云服务已成为了资本市场的主要战略，搭载云平台进行业务完善和内部管理也成为了各企业的优先发展事项。近几年，各大互联网厂商纷纷跻身进入了云服务市场，领域间的竞争逐渐升温，云上的服务形式也逐日完善。与此同时，依托于“互联网+”的时代背景以及国家大数据战略的敲定，大数据生态体系的日益形成，也为云市场的发展奠定的基础。
我们经常说的云计算，是一种基于因特网的超级计算模式，在远程数据中，成千上万的电脑和服务器组建成了用户所见到的“云”。也是基于极高的硬件配置，云计算服务可以通过网络，为用户提供按需、易扩展的资源，让用户体会到每秒十万亿次的运算能力。从用户的角度出发，云上的资源是可以无限拓展的，并且可以随时随地的获取。
云计算技术因其低成本，可扩展性和高可用性而流行起来，这将数据的存储及处理从所有者转移到云服务供应商，而如何审计云服务供应商的安全管理是否满足公司内控及合规监管的要求给企业的信息系统内部审计工作带来了新的挑战，客户及数据所有者的安全性和数据隐私保护的需求尤为迫切。本文阐述了基于云计算的信息系统审计的实施框架及实施流程分析。
1、云计算服务模式的基础架构
云计算的架构分为三层即基础设施架构，平台以及软件层。因此，云计算以三种不同的服务模型提供，每种模型都满足一组独特的业务需求。这三种模型分别称为软件即服务（SaaS，Software as a Service），平台即服务（PaaS，Platform as a Service）和基础架构即服务（IaaS，Infrastructure as a Service）。顾名思义，软件及服务是将应用作为服务提供给客户；平台即服务是将开发平台作为服务提供给客户；基础设施即服务，是将虚拟机或其他资源作为服务提供给客户。
1、软件即服务(SaaS)
在这种云服务模型中，云提供商负责管理应用程序环境的所有方面，如虚拟机、网络资源、数据存储和应用程序。云租户只需向由云提供商管理的应用程序提供数据。用户只要接上网络，即可以通过浏览器，直接使用云端运行的应用，而不需要考虑安装等问题。例如，Office 365提供在云中运行的Office的完全可用版本。你只需创建内容，Office 365会处理其他所有事项。SaaS供应商需要提供一定的安全机制，来保护用户储存于云端以及使用客户端所产生的数据。
2、平台即服务(PaaS)
这种云服务模型是一种托管主机环境。云提供商负责管理虚拟机和网络资源，云租户将其应用程序部署到托管主机环境中。例如，Azure应用服务提供托管的主机环境，开发人员可在其中上传其Web应用程序而无需担心物理硬件和软件要求。通过Pass的服务模式，无论是在部署或者运行的时候，用户都无需为服务器，操作系统，网络以及存储等资源管理操心，PaaS供应商都会为其处理这些琐碎事项。
3、基础结构即服务(IaaS)
这种云服务模型最接近于管理物理服务器。云提供商将保持硬件是最新的，而操作系统维护和网络配置则需要云租户完成。例如，Azure虚拟机是在Microsoft数据中心中运行的完全可操作的虚拟计算设备。这种云服务模型的优点是快速部署新的计算设备。设置新虚拟机比采购、安装和配置物理服务器快得多。基础设备的滚利由IaaS供应商来管理，会让用户有更多的时间精力以及更小的成本来进行基础设施运营。
虽在云计算层面上，这三种服务呈现一种继承式的分布，但实则在技术上与继承关系还是有极大不同的，简而言之，SaaS可以架构于PaaS服务之上，或直接架构于IaaS上；同样，PaaS可以直接建立于IaaS上，也可以直接架构于用户自身的物理资源之上。
4、公有云，私有云及混合云
在谈论完三种不同的云计算服务后，此部分将对云计算的形式进行一些简单的说明。云计算的形式主要分为三种，公有云，私有云和混合云。其中，公有云是为广大用户，个人及企业提供的云基础设施，用户可以通过购买云服务器，数据储存和其他云相关的服务等公有云服务来访问这些服务器。而私有云则为企业或组织提供专用的云环境，可以由企业或组织内部的IT团队在该组织的防火墙后进行内部操作，定义资源，进行网络维护。而混合云也是一种新型的云计算模型，集合了一个或者多个公有云及私有云环境，将本地基础架构和私有云及公有云相结合，利用两者的优势，提供灵活性及多样化部署的能力。
用户可以根据其不同的需求，选择不同的云计算服务，解决企业面临的问题并满足需求。
2、基于云计算的信息系统审计实施框架的构建及实施流程分析
正如上文所说，云计算成为了金融市场中不可或缺的条件，审计也应当顺应时代的趋势，采取先进的信息技术手段，有效地实现审计资源的合理化配置和使用，针对云计算服务建立信息系统审计框架，以实现审计目标。
从内审的角度，云服务从采购到服务退出都应纳入审计范围内，其中整个流程涵盖了云服务采购过程，云平台开发测试与交付，云计算平台的迁移与部署，云平台的安全管理及安全运维，云服务的退出及数据移除这五个步骤。
1）云服务采购过程
采购过程在内审的角度出发，主要分为两类，需求评估及供应商的选择。
在需求评估阶段，企业应根据公司业务需求或组织架构需求，并考虑到公司本身长远战略规划，对需求进行记录并评估需求。在供应商选择过程中，应考虑到质量，成本，交付与服务并重的原则。
具体实施流程如下：
云服务的需求评估范围应囊括对于成本评估，功能性需求评估，安全性评估，适用性评估。其中成本评估应建立在公司成本及云服务平台产生效益出发，结合市面上的云平台的大致价格及效益，进行需求描述；功能性评估应从企业自身对云服务的需求进行描述及评估，如大量数据储存，及时预警，OA模块等实用性因素，对各功能进行优先级排序；安全性评估应结合公司内部网络安全及数据安全要求，对此类需求进行定性，并对可能存在的各类安全风险进行评估；最后的适用性评估则应结合公司内部各项系统及基础架构，对主要系统或目标系统进行“上什么云”的适用性需求评估，如是否有系统是否过于老旧，无法进行上云，或某些系统非自开发系统，对上云有一些定制化要求。
在上文所提到的，供应商选择的四要素（质量，成本，交付与服务）中，质量因素是最重要的，首确认供应商是否具有提供符合公司需求内容的产品，并且产品经过了较为严格的云服务质量检测。其次是成本与价格，应匹配公司的预算，公司应对所涉及的产品进行成本分析，并通过双赢的价格谈判实现成本节约。在交付方面，要确定供应商是否拥有足够的生产能力，人力资源是否充足，以实现交付的按时按需。后一点，也是非常重要的，即为供应商的售后能力。因云计算服务归根究底，为一项服务，只有当供应商有能力提供优质服务，才能保证公司可以正常以及高效地使用其云计算平台服务。
在需求评估阶段应有相应的沟通记录及审批记录，以在后期检验时，有迹可循。同时应注意，在签订合同时，应签署服务水平协议，安全协议以及保密协议这些至关重要的合同文件。
2）云平台开发测试与交付
如公司在已经采买的云计算平台（如购买了PaaS或IaaS服务）并对平台进行二次开发，开发过程应该遵循公司政策要求。其中应考虑到开发的安全性，开发后的稳定性以及产品开发周期。整个开发生命周期应建立完善的开发，测试和验收的管理流程，从而确保在云服务平台交付后得以稳定运行。
具体实施流程如下：
云平台的开发测试与交付，审计应涵括以下几点分别为，开发设计，开发及测试过程管理及后续培训。
云平台的开发设计与其他系统开发类似，但应考虑到整个云平台的体系建设。对于云开发，公司应制定相应的云开发流程管理，质量管理及变更管理文件。
开发过程管理指公司应对开发过程，其中包括源代码或开发工具的使用情况以及是否采买了供应商其他工具进行记录，并在过程中对于开发风险进行阶段性管理，以确认开发风险得到了相应的解决。测试过程应进行全程记录，并记录问题，及时与供应商或企业内部相应人员进行沟通，以确保测试过程中问题，在上线前进行解决。
相对于其他系统，云计算服务的培训较为关键。考虑到平台由供应商维护且存在定时更新，企业应制定针对开发，测试，运维以及日常使用的云服务平台培训，以确保公司使用云平台的效益可以最大化。
3）云计算平台的迁移与部署
在云计算平台或系统上线前，公司可能存在数据向云平台迁移的需求。公司或组织应该根据公司对于云计算的数据安全要求及云下系统操作性要求，制定云计算服务迁移及部署计划并加以实施，确保数据和业务可以安全地向云计算平台迁移。
具体实施流程如下：
针对云平台上的数据迁移，公司应制定完备的迁移计划，其中应包括实施方案和进度计划表，时间表，以及人员配置。迁移过程中，公司可以保存里程碑文件，以确保不会出现数据断点或其他因人为错误及其他可能错误导致数据错误不可溯源，不可回退。在迁移结束之后，公司应对迁移后数据进行验收，其中如使用技术手段，应记录工具及测试方法。
迁移后，云平台的部署至关重要。其不仅包括了对数据可用性的检查，也包括对于云计算服务可用性的验收。验收方应对平台的性能及安全性进行测试，并对安全隐患进行检查。
4）云平台的安全管理及安全运维
云平台的安全管理及安全运维，更应纳入企业日常内部审计的范畴内。因其包含了整个云平台系统的配置及管理，应在企业内部获取更高的关注。其中云平台的合规性，信息安全等级保护检查应遵循行业及组织规定，同时对于已经采购的云计算服务运维进行良好的管理。
具体实施流程如下：
正如前文所说，云平台的安全管理及运维应纳入企业日常内审的范围中。考虑到现在国家政策在数据领域逐渐建立起了完备的法律体系，云平台的安全及合规性管理也应受到企业内部的重视。在此项过程中，企业应制定相应合规制度，设立安全管理角色，并对云平台及其上数据的合格性进行监控。如政策环境出现了变化，企业可以及时识别安全风险并调整。
安全运维主要涵盖以下几点，及网络及代码安全，日常访问控制，应用安全，数据安全，日常监控及审计。针对以上几个审计点，公司内部应采取有效措施或制定相应制度，以及展开定时检查。只有在日常工作流程中，设立了有效控制点，才能保证云平台的运维安全，最终使得平台的运转更为有效。
5）云服务的退出及数据移除
在公司决定停止使用某项云服务后，应启动数据销毁或迁移的进程，并制定关闭云平台服务或账号的流程。此流程应严格遵循，确保公司可以完整的推出云服务的合同，并也应根据最初的供应商合同，检查供应商是否履行了其责任和义务。
具体实施流程如下：
云服务的退出与数据移除虽为整个环节的最后一个步骤，但公司也应制定云平台退出及其数据迁移/移除的计划。其中计划应对不同的数据性质进行细分，并制定相应的流程，并建立回退计划及应急预案，以防数据损坏。在过程中，云平台用户应采取手段，对过程的完整性加以保障。
3、结尾语
云计算和大数据的崛起，为审计工作带来了前所未有的挑战和机遇。如何针对此类新型科技，帮助企业更好的提供内审服务，促进企业的管理和发展，对于整个审计行业都是具有重大意义的。目前在审计大环境中，针对云平台的审计模式及方式还在逐渐完善。如何实现可持续性审计，并降低云计算服务的风险将持续成为行业内的聚焦点。
