如同合規(guī)要求一樣，企業(yè)的云安全工作應(yīng)該包含審計與保證。必須獨立地實施審計，并且應(yīng)該堅定地設(shè)計審計以便表現(xiàn)出***實踐、恰當?shù)馁Y源，以及經(jīng)過檢驗的協(xié)議及標準。

對于客戶和服務(wù)提供商而言，內(nèi)審和外審以及各種控制措施都是合情合理的、可為云計算效力的角色。在引入云計算的起步階段，更多的透明度可能是增加利益相關(guān)者舒適度的***選擇。審計是提供保證的方法之一，其保證運營風險管理活動得到徹底地檢驗和評審。

組織***級別的治理要素(例如董事會和管理層)應(yīng)該采納并支持審計計劃。對至關(guān)重要的系統(tǒng)及控制進行定期且獨立的審計，包括伴隨的審計記錄和文檔將會支持提升效率和可靠性。 許多組織使用成熟度模型(例如CMM、PTQM)作為分析流程有效性的框架。在某些情況下更多采用的是統(tǒng)計性的風險管理方法(例如用于金融服務(wù)的巴塞爾協(xié)議和償付能力標準)。并且隨著該領(lǐng)域的成熟，可以采用適用于職能部門、或業(yè)務(wù)線的更具專業(yè)性的風險模型。 對于云計算而言，我們需要修訂和加強這些實踐。正如信息技術(shù)模型一樣，審計需要充分利用云計算的潛力，同時增大范圍和規(guī)模來管理它諸多的新穎性。

當接洽(云計算)提供商時會牽涉到客戶所屬組織內(nèi)適當?shù)姆▌?wù)、采購以及合同團隊。服務(wù)的標準條款可能并未涉及合規(guī)需求，需要就此進行協(xié)商。

對于受到高度監(jiān)管的行業(yè)(例如金融業(yè)、醫(yī)療行業(yè))來說，當使用云服務(wù)時應(yīng)該考慮專門的合規(guī)要求。理解自身當前要求的組織應(yīng)該考慮分布式IT模型的影響，包括云服務(wù)提供商運營于不同的地理位置以及不同的法律管轄區(qū)所帶來的影響。

為每項工作負荷(例如整套的應(yīng)用和數(shù)據(jù))，確定使用云服務(wù)將會如何影響現(xiàn)有的合規(guī)要求，特別是當與信息安全有關(guān)時。盡管有許多外包服務(wù)解決方案，組織仍需理解他們哪個云服務(wù)合作伙伴正在處理并應(yīng)當處理受監(jiān)管的信息。受影響的策略以及流程的例子包括活動報告、日志、數(shù)據(jù)保持、事故響應(yīng)、控制測試和隱私權(quán)策略。

各方都應(yīng)該理解各自的合同職責。期望值的底線將會由于部署模型而有所不同，在IaaS模型中客戶擁有更多的控制權(quán)和職責，對于SaaS解決方案而言服務(wù)提供商扮演著統(tǒng)治性的角色。特別重要的是彼此受約束的要求和責任，而不僅只是限于客戶與他們直接的云服務(wù)提供商，而且也是在最終用戶與提供商的云服務(wù)提供商之間。

遵守法規(guī)以及行業(yè)規(guī)定和要求(例如法規(guī)、技術(shù)、法律、合規(guī)、風險和安全等方面)是關(guān)鍵的，并且必須在要求確認階段就解決。任何被處理、傳輸、存儲的信息，或是被看作是個人可識別信息(Personal Identifiable Information，簡稱PII)或私人信息都面臨著世界范圍內(nèi)繁多的合規(guī)規(guī)定，這些合規(guī)可能隨國家或地區(qū)的不同而有差異。既然云計算被設(shè)計為是位于不同地區(qū)且可擴展的，解決方案中被存儲、處理、傳輸或是檢索的數(shù)據(jù)可能來自云服務(wù)提供商的眾多場所或多個數(shù)據(jù)中心。一些法規(guī)明確規(guī)定的控制在某些云服務(wù)類型(例如地理上的要求可能與分布式的存儲不一致)下很難、或是根本不可能實現(xiàn)。客戶與提供商必須就如何收集、存儲，以及共享合規(guī)證據(jù)(如審計日志、活動報告、系統(tǒng)配置)達成一致意見。

在實際工作中，可以遵循以下一些有益的建議和***實踐：

建議***那些具有“云意識”的審計人員，他們熟悉保證虛擬化與云技術(shù)的挑戰(zhàn)以及優(yōu)勢。

建議要求云服務(wù)提供商提供SSAE 16 SOC2 或 ISAE 3402 類型2報告。這些報告將為審計人員和評估人員提供被承認的參考起點。

合同應(yīng)該提供給第三方(例如由雙方選擇的中間方)來評審SLA的度量標準及合規(guī)性。

有權(quán)審計的條款賦予客戶審計云提供商的能力，這支持在頻繁地變化的云計算環(huán)境與法規(guī)內(nèi)的可追溯性和透明度。使用有權(quán)審計的標準化規(guī)范來確保對彼此期望值的理解。最終，這個權(quán)利應(yīng)由第三方的認證(例如ISO/IEC 27001或27017認證)所取代。

使用指定訪問權(quán)限的透明度條款提供那些身處受到高度監(jiān)管行業(yè)的用戶(包括那些可將不合規(guī)作為刑事訴訟依據(jù)的行業(yè))所需要的信息。該協(xié)議應(yīng)該與自動產(chǎn)生或可直接訪問的信息(例如日志、報告)，以及推送的信息(例如系統(tǒng)架構(gòu)、審計報告)區(qū)分開來。

云提供商應(yīng)該定期(或是按需)地評審、更新并且發(fā)布他們的信息安全文檔和GRC(Governance, Risk and Compliance，治理、風險和合規(guī)，簡稱GRC)流程。這些資料應(yīng)該包括漏洞分析以及相關(guān)的補救措施決策和活動。

第三方審計人員應(yīng)由云提供商和客戶事先共同披露或選擇。

各方應(yīng)就采用一個共同的IT治理和安全控制認證保證框架(例如ISO或COBIT標準)達成一致。