云计算环境下云审计平台架构与实现.doc

云计算环境下云审计平台架构与实现 本文受重庆市教育委员会人文社科重点项目资助，项目编号：14SK001魏祥健（重庆科技学院，重庆，401331）【摘 要】云计算作为新一代信息技术的重要发展方向，正在影响着互联网以外的行业，并进一步影响会计、审计行业。云计算环境下的云服务模式已在众多的行业进行了深入的研究和应用，但我国目前尚缺少关于云服务模式下的云审计研究与运用。该文基于云计算环境下IaaS、PaaS和SaaS云服务模式特点，讨论了云审计与云审计系统概念，从而从基础设施层、平台服务层、平台应用层、客户端服务层、安全审计平台、外部应用接口六个方面搭建了云审计系统的基本架构，研究了云审计实现方式，并分析了未来云审计的研究方向。此研究结果为推动我国未来云审计的深入研究和实务发展提供了参考。【关键词】云计算 云服务模式 云审计 云审计平台传统的审计模式为各审计机关分别采购应用服务器、数据库服务器并安装联网审计系统，审计人员通过办公局域网访问系统开展审计工作。这种审计模式使每个审计机关都需要配置独立的硬件资源和软件资源，势必产生IT成本居高不下，专业维护费用居高不下且需要大量的专业维护人员。随着IT应用在各行业各部门的普及，云计算开发和利用成为了不可或却的因素。随着云计算的发展，云计算不断影响互联网以外的行业，并进一步影响会计、审计行业，给审计带来新的挑战（秦荣生,2013）。传统的审计模式与审计系统已不能适应云计算技术的要求，现代审计迫切需要提供简单、快捷的云计算服务来满足国家审计 本文所论审计特指国家审计需求，如何利用互联网的云计算概念，通过数据的云存储，使得各种审计资源通过云来协同，从而为审计人员提供更富有效率，更科学的审计过程，云计算服务模式让这一希望变为了现实。云计算可以提供以下三个层次的服务（Iyer&Henderson,2010）：基础设施即服务（IaaS），平台即服务（PaaS）和软件即服务（SaaS）。如何在云计算服务平台基础上，利用云计算技术，以审计业务需求为核心，最终实现各级审计机关硬件资源、软件资源、服务共享的云审计系统，使审计资源得到充分优化利用，是未来我国国家审计亟待解决的问题。本文结合云计算服务模式的研究与应用现状，构想云计算环境下云审计系统架构。一、云计算与云审计研究现状云计算（Cloud Computing）是一种新近提出的计算模式，是分布式计算、并行计算和网格计算的发展。它是基于互联网的计算，能够向各种互联网应用提供硬件服务、基础架构服务、平台服务、软件服务、存储服务的系统。云计算概念是由Google首席执行官Eric Schmidt在2006年搜索引擎大会(SES San Jose 2006)首次提出。狭义云计算是指IT基础设施的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的资源；广义的云计算则是指强调服务的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的服务。美国国家标准与技术研究院（NIST）的定义则是：云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问， 进入可配置的计算资源共享池（资源包括网络、服务器、存储、应用软件、服务等），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。从上面的各种定义可以看出，云计算的核心思想是将大量用网络连接的计算资源统一管理和调度，构成一个计算资源池向用户按需提供服务。在云计算平台上，云计算技术必然能够为审计提供源源不断的技术创新支持，从而带动审计技术的革新，云审计将成为未来审计发展的必然趋势。那么，什么是云审计？目前还没有一个统一的定论。CSA主要发起者之一，思科公司云与虚拟化解决方案的首席专家Christofer Hoff是云审计（CloudAudit）的创建者，其目的在于规避风险，但没有明确界定云审计的本质内涵。文峰（2011）认为云审计是利用互联网的云计算概念，通过数据的云存储，使得各种审计资源（参与审计的人员、程序和相关的硬件设备）通过云来协同，从而为审计人员提供更富有效率，更科学的审计过程。在这个过程中，审计人员无需关注使用何种计算机程序、也无需关注数据的存储、共享和工作时效性问题，审计人员惟一需要关注的就是审计任务本身。邓川、杨文莺（2011）认为云审计是基于云计算的互联网的超级计算模式，使审计人员协同运用各种存储在“云”中的数据和审计资源，从而更有效率、更科学地进行审计的过程。以上概念都认为云计算与审计的结合就构成了云审计，但需要指出的是，云审计除了使各种审计资源都要通过云计算来协同运作外，审计受托责任、云中心的数据安全、云平台开放性的风险控制、云环境下的责任认定等，都将依托云审计概念来展开，甚至一些原来约定俗成的概念和审计过程等也都会有较大变化和延伸，因此，准确的定义还有待进一步研究和确定。要实施云审计，审计组织应建设云审计平台（秦荣生，2013）。秦荣生认为云审计平台主要包括云审计用户服务平台和云审计企业服务平台，既可提供面向云计算服务提供商的信息审计服务，又可提供面向云计算服务用户的信息监管服务。文峰（2011）认为云审计可以和行业信息化建设有机地结合起来，实现将注册会计师、会计师事务所、审计程序、审计数据及报告甚至被审计单位都通过云审计平台联接起来，形成“数据与服务的超级平台”。国内学术界和产业界在云计算环境下如何搭建审计系统与平台进行了一些技术研究和产品开发，如陈伟，Wally Smieliauskas（2012）从被审计单位使用云平台、审计单位使用云平台、审计单位和被审计单位都使用云平台这三种情况出发，采用 SaaS、PaaS 或者IaaS服务模式，研究了云计算环境下适合我国联网审计特点的联网审计模式和实现方法。鲍伟民（2012）对云计算环境下的数据安全、风险控制、行为监控等方面研究了SaaS服务模式下安全审计系统的设计。产业界国都兴业信息审计系统技术(北京)有限公司2011年推出的“企业云审计服务平台”，实现对IaaS，PaaS和SaaS各个层面的审计，通过解决云计算环境下数据可视化与可审计的问题。以上研究为我国未来云审计的实施与开展提供了重要的思路。二、云计算提供的服务模式根据权威的NIST定义，云计算主要分为三种服务模式，而且这个三层的分法重要是从用户体验的角度出发的。这三种服务模式是基础设施即服务IaaS （Infrastructureasaservice），平台即服务PaaS（Platform.asaservice）和软件即服务SaaS（SoftwareasaService）。如图1所示：SaaSSaas(Software-as-a-service)为客户提供各种应用软件服务PaaSPaas(Platform-as-a-service)通过平台为客户提供一站式服务Iaas(Infrastructure-as-a-service)为客户提供网络、计算和存储一体化的基础架构服务IaaS 图1：云计算服务模式架构IaaS层的主要作用是以服务的形式提供服务器、存储和网络硬件以及相关软件。它是三层架构的最底层，是指企业或个人可以使用云计算技术来远程访问计算资源，这包括计算、存储以及应用虚拟化技术所提供的相关功能。无论是最终用户、SAAS提供商还是PAAS提供商都可以从基础设施服务中获得应用所需的计算能力，但却无需对支持这一计算能力的基础IT软硬件付出相应的原始投资成本。 PaaS层的主要作用是以服务的方式提供应用程序开发和部署平台。就是指将一个完整的计算机平台，包括应用设计、应用开发、应用测试和应用托管，都作为一种服务提供给客户。在这种服务模式中，客户不需要购买硬件和软件，只需要利用PaaS平台，就能够创建、测试和部署应用和服务。 SaaS层的主要作用是以服务的方式将应用程序提供给互联网最终用户。它是用户获取软件服务的一种新形式，用户无需购买软件，不需要用户将软件产品安装在自己的电脑或服务器上，而是按某种服务水平协议(SLA)直接通过网络向专门的提供商获取自己所需要的、带有相应软件功能的服务。SaaS云服务、PaaS 云服务、IaaS云服务为有效管理信息资源、充分利用信息资源提供了新的思路，为研究实现信息资源云服务提供了新的机遇。三、云计算环境下云审计系统设计前面所提云计算的三种服务模式运用于云审计系统，可以单独采用，也可以混合采用，考虑到云计算环境下审计的大数据处理、成本与效益、高效、专业与系统性原则，结合目前国家审计中IT应用的实际情况，以省一级审计机关为单位，构建SaaS、PaaS、IaaS相结合的混合服务模式云审计服务系统，最终实现省、市、县三级审计机关的硬件资源、软件资源、服务共享。该服务系统由基础设施层、平台服务层、平台应用层、客户端服务层、安全审计平台和外部应用接口构成，如图2所示：各级审计机关用户客户端服务层用户管理身份认证权限管理云审计系统 安全审计平台外部应用接口政务平台接入审计监控系统应用层SaaS审计实施系统AO决策支持系统审计管理系统OA审计云数据中心金融部门接入漏洞扫描应用与维护服务平台维护资源开发资源部署税务部门接入系统服务层PaaS管理服务审计论坛消息管理综合管理安全预警资源服务其他接入资源调度专家经验信息服务基础设施层IaaS服务器网络设备操作系统数据库 图2：云审计系统架构基础设施层 IaaS为审计机关提供了统一的基础设施服务，包括处理、存储、网络、安全防范和其他基本的计算资源。下级审计机关无需购买和建设服务器、网络设备、操作系统、安全等基础设施，不需要管理、控制和维护任何云审计基础设施。基础设施层IaaS服务是PaaS和SaaS服务的重要基础，是实现PaaS和SaaS服务的基本保障。系统服务层PaaS 为下级审计机关提供审计与其他综合服务，包括资源服务中的信息共享、专家经验库的上传和下载审计案例经验、对资源进行调度和安排，实现对各种资源的高效利用；管理服务平台提供综合管理、消息发布和接收，审计BBS论坛的交流和讨论等；应用与维护平台提供资源部署与分发、专业工具和程序段开发、系统应用与维护服务等功能，下级审计机关无需为缺乏维护的专业人员和高昂的维护费用发愁。系统应用层SaaS是云审计平台的中心，主要部署审计实施系统、审计管理系统、审计决策支持系统和审计数据中心。其中，根据国家“金审工程”的要求，审计实施系统（AO）和审计管理系统（OA）要实行交互管理，审计数据中心是在云环境下对大数据信息进行集中采集、处理、存储、传输、交换和管理的一个中心数据库，中心数据库除了包括被审财务业务数据，还包括审计综合信息数据库、审计专家经验数据库、法律法规数据库等。下级审计机关无需再建设审计实施和审计管理系统，只需要通过WEB浏览器进入云端应用系统，就能方便、快捷、安全、完整地从云审计数据中心获取审计所需要的数据并进行审计作业。客户端服务层是各级审计机关用户访问云审计平台的客户端入口。客户端服务层通过用户管理、身份认证、权限管理各级审计机关用户提供审计资源云服务，包括上级审计机关和下级审计机关各种用户都可以通过终端设施从中获取相应的审计信息资源云服务。服务方式有根据自身的特点和要求定制的个性化云服务和根据身份匹配的规定审计服务。安全审计平台是立足于为云计算环境下各主体和客体提供全面的、可靠的统一监测、监督、预警的安全卫士。审计监控对云平台提供全面的异常监控和故障监测，并把检测到的异常信息发送到指定系统，对云平台提供立体化安全策略；漏洞扫描对平台提供安全漏洞扫描技术，定期扫描、评估和测试平台安全水平，及时发现平台的安全漏洞，给予漏洞修补意见和报警记录；安全预警是对平台的监测信息进行分析、追踪，并形成分析评价指标，当监测到云环境中有未知访问、非法篡改和复制、安全漏洞等情况发生时，及时提供预警，并定期形成预警事件报告和实时响应机制。此外，为了与外界进行信息交换、数据传递、资源共享，系统还设计了对外应用接口与外部机构和其他部门挂接。通过外部接口使审计机关和各级部门共享基础信息资源库、共享主题资源、数据传递渠道畅通。同时还可提供公众信息服务，开通网上公众举报、政务公开、审计结果公开、审计网上宣传、新闻发布、审计工作开展情况与开展进程等，以此提高审计透明度，扩大审计影响力，树立审计的公众形象。四、云审计系统实现方式在云审计方式下，云审计系统通过审计云数据中心按照审计署统一规划的行业审计模型，统一数据采集、数据转换、模型和方法制作，下级审计机关不再自行采集数据，只需要从云平台审计数据中心直接调出被审数据，利用云平台审计实施系统进行数据分析和存储。（一）数据采集由于被审计单位信息系统的布局、云平台架构、系统结构等方面各不相同，因此对不同的单位应采取不同的数据采集方式。下面从被审计单位数据存储不使用云平台和使用云平台两个方面来分析。1.被审计单位数据存储不使用云平台这种情况主要采用联网报送审计数据方式。在这种审计数据采集方式下，云审计系统审计数据中心通过网络与被审计单位建立连接，被审计单位定期、定时向云审计数据中心传递被审所需电子数据。从形式上讲，此种审计数据采集方式类似于传统意义上的报送审计，只不过在报送资料的形式和方法上产生了变化。此种方式适合电子数据量相对较小的被审计单位。如图3所示：云审计系统网络互联被审计单位 图3联网报送审计数据2.被审计单位数据存储在云平台上在这种情况下，由于被审计单位在云平台上运行自己的应用系统，存储自己的电子数据，可以采用两种方式进行数据采集。一种是云审计平台数据中心与在被审计单位云平台建立数据接口，云审计数据中心通过该接口可直接访问被审计单位云平台数据库。在此模式下，由于云审计平台直接访问的是被审计单位云平台数据库的数据，可以实现对数据的时时传输，时时审计。如图4所示： 网络互联云审计系统云平台被审计单位技术数据接口 图4建立数据接口采集审计数据另一种是在被审计单位云平台数据中心嵌入审计软件或软件审计模块，根据审计单位的审计请求，借助被审计单位使用的云平台，运行嵌入审计软件或审计模块，完成对被审计单位的审计数据分析，发现审计线索，获得审计证据，并把审计证据返回给云审计平台，从而完成云审计工作。如图5所示：云平台被审计单位件或程序段嵌入审计软云审计系统网络互联 图5嵌入审计软件采集审计数据（二）数据分析审计数据分析技术是指通过分析财务数据之间以及财务数据与非财务数据之间的关系，取得审计证据的技术。在云审计模式下，利用云审计软件服务层的审计实施软件，通过建立审计中间表，运用审计分析模型、多维数据分析、数据挖掘技术等，实施审计数据分析。按照审计分析需求的不同，审计云平台能够提供一切基于审计数据中心的分析服务，如定制的特殊审计分析服务、常规专业审计项目分析服务、临时性审计分析服务等，快速构建好的审计分析服务，犹如构建在审计专网中的一朵一朵的审计分析服务云，提供给各地市审计机关，发现审计线索，收集审计证据。（三）数据存储审计过程中采集的电子数据越来越多，数据量也越来越大，从而形成海量的审计数据。数据的爆炸性增长不仅要求云数据中心能存储日益增长的数据，合理地管理数据，更重要的是要保证数据的安全和有效使用，数据的存储便成为了云审计中的一个关键环节。传统的现场审计模式下，审计人员采集和转换后的电子数据要经U盘等磁性介质传送，容易丢失，还容易传播病毒。采集来的电子数据一般都保留在自己的笔记本上或本地局域网的计算机上，数据安全得不到保障，共享性差。而且随着时间的推移，如果这些数据没有得到很好的组织和维护，其利用价值也将越来越低，对这个信息资源是一个很大的浪费。在云审计平台下，数据存储依托云数据中心。云数据中心通过集群应用、网格技术或分布式文件系统等功能，将云审计平台数据中心的存储设备集合起来协同工作，共同对外提供审计数据存储和审计作业访问。采用云存储后，审计数据的使用和输出也变得相当便利，审计人员通过平台应用端口同步文件到本地即可，审计人员只要有一个接收端，电脑、手机、平板等都可以，就可以在任何时间、任何地方进行审计作业，工作的便利性大大提高。五、结束语本文根据云计算服务模式的特点和应用现状，构建了云审计系统的基本框架。但云计算环境下的云审计建设是一个系统工程，除了平台架构外，还有诸如信息安全、云责任等标准体系和安全审计的法律法规建设。如果在实施云审计项目时盲目应用云计算技术，而忽视标准体系和法律法规建设，将会产生严重的潜在审计风险。因此，进行云计算环境下审计安全技术标准、技术规范研究和相关产品开发，是推动未来我国云审计发展的关键。 参考文献：1秦荣生. 云计算的发展及其对会计、审计的挑战J.当代财经，2013（1）：111-117.2Iyer, B. Henderson, J. Preparing for the future Understanding the seven capabilities of cloud computingJ.MIS Quarterly Executive, 2010.2,9(2):117-131.3 MELL P, GRANCE T. The NIST Definition of Cloud ComputingR.National Institute of Standards and Technology, 2011.4文峰. 云计算与云审计关于未来审计的概念与框架的一些思考J.信息技术，2011(2):98-102.5邓川,杨文莺. 基于云审计的会计师事务所机遇、挑战及对策J.财会通讯，2012（10）：83-84.6陈伟，Wally Smieliauskas. 云计算环境下的联网审计实现方法探析J.审计研究，2012（3）：37-44.7鲍伟民. 基于云计算的安全审计系统研究与设计J.软件产业与工程，2012（6）：41-45.8 CTI论坛 /news/guonei/351831.html9张剑，陈剑锋，王 强. 云计算安全审计服务研究J.学术研究，2013（6）：62-64.10冯秀珍，郝鹏.云计算环境下的信息资源云服务模式研究J.计算机科学,2012（10）：110-114.Design and implementation the Cloud auditing system on Cloud computing environmentWei Xiang-jian（chongqing university of science and technology, Chongqing ,401331）【abstract】 The cloud computing as a new generation of the important development direction of information technology, is affecting the Internet industry, and further affect the accounting and auditing profession. The cloud services model of Cloud computing has carried on the thorough research in a wide range of industry