社会网络视角下云安全风险的审计研究

王敬勇 张高高 夏晓雪

【摘 要】 随着云计算技术在各行业内的广泛运用，安全问题成为云计算应用中的一大阻碍，众多安全风险漏洞的存在对云安全风险管理提出更高的需求，加强云安全审计势在必行。传统的云安全审计管理研究多基于安全风险之间相互独立的假设，缺少涉及多方利益相关主体的风险网络关系研究。基于此，文章以第三方审计视角识别云安全风险利益相关主体及风险类别，引入社会网络分析方法构建风险传染网络，分析利益相关主体间云安全的联系和扩散，识别关键传导风险因素，提出对应利益相关主体的云安全风险审计管控策略，旨在为多方利益相关主体参与下的云安全风险防范治理提供理论支撑，为我国云安全审计管理研究提供参考借鉴。

【关键词】 云安全； 云安全审计； 社会网络分析； 风险审计

【中图分类号】 F239.4  【文献标识码】 A  【文章编号】 1004-5937（2024）01-0014-09

云计算是结合分布式处理、虚拟化资源和网络存储和网络协议等多项技术的新型商业计算服务模式。近年来国家出台多项政策，保障云计算服务行业发展创新。2017年，工业和信息化部发布《云计算发展三年行动计划》，提出健全云计算产业相关标准体系，强化云计算服务应用和云基础设施建设，推动重点领域企业上云。云计算作为数字经济的重点产业，担负着加快数字化发展的重大责任。中国信通院《云计算白皮书（2023年）》指出，过去一年，我国云计算产业保持快速发展，市场规模达到4 550亿元，预计2025年我国云计算整体市场规模超万亿元，同时云安全问题的重要性日益突出[1]。云承载了大量隐私信息数据的同时也产生了众多安全风险问题，计算机病毒、隐私泄露、数据滥用、外部攻击、技术缺陷等安全漏洞阻碍云平台的正常运行。云安全涉及范围较广，需要从全局的视角进行安全防护。

新时代审计事业高质量发展为中国式现代化提供了审计保障。审计作为经济监督部门有必要以现代信息技术为战略支撑探索创新。发展云平台审计是科技强审、推进审计全覆盖的必经之路。云安全审计能有效迎合云平台安全风险管控的需求，各相关利益方迫切需要将其引入云服务。云平台建设参与主体和涉及部门众多、关系复杂，对各利益相关方间需求沟通、差异协调的要求较高，进行云安全审计时，审计主体面对的风险因素错综复杂。本研究通过社会网络分析法探究云安全风险因素在利益相关主体间的影响关系，在理论上拓宽现有云安全审计领域的研究视角，从实践上辅助审计主体识别出云安全风险传导的关键节点，实行有效的审计管控措施，旨在全面提升云安全审计治理能力，助力云审计赋能数字经济。

一、文献回顾

（一）云安全风险及审计

云安全漏洞是当前云计算应用途中的一大阻碍。从相关研究进展来看，学者主要从云计算环境下安全风险识别、评价与控制等方面展开研究。目前针对云安全风险的文献主要集中于：（1）云安全问题。Malhotra et al.[2]研究发现云计算安全性是制约云服务发展的重要障碍，认为应用服务层和云终端层是云安全风险的两大主要源头。（2）云安全风险评价。阮树骅等[3]以云计算相关的政策法规、技术领域和管理领域作为起点识别风险因素，构建云安全风险评估指标体系和风险评估计量模型，为云安全风险评估提供量化依据。（3）云安全控制技术。C Lee et al.[4]和张晓娟等[5]研究了国外云计算技术安全标准体系及框架建设，为政府云的建设管理提供理论支持。冯朝胜等[6]和王于丁等[7]基于已有云计算访问控制技术框架，分别探索云虚拟化以及云计算访问控制等方面的安全技术和方法。随着电子政务云技术应用逐渐兴起，章谦骅等[8]规划建设政务云安全体系方案，并设计政务云安全保障策略，旨在支持电子政务云高效稳定运营。

安全审计是防范化解云安全风险的一种有效方式。云安全审计是基于现代审计理念，追踪云用户行为，评估云安全风险，揭示云应用漏洞，提升云服务效益，从云平台的建设、部署、应用、运维等环节开展全过程监督的活动[9]。作为新兴审计范式，当前云安全审计研究主要集中于：（1）优化云安全审计技术。孔丹等[10]在梳理传统安全审计存在的缺陷以及结合现有改进技术的基础上，整合审计信息收集、存储与分析三大功能子模块，设计出一种基于改进的Apriori算法的云安全审计系统，并证明该算法能大幅提升运作效率和安全性能。陈康康[11]建立面向云存储系统的身份认证协议，并使用代理重加密技术设计安全可靠的云数据存储加密协议及共享机制，且有效性已通过Hadoop平台验证。（2）构建云安全审计框架。刘国城[12]以“过程挖掘”作为核心技术，深入研究云安全审计过程运行机制，创造性地设计出一种新的云安全审计模式，推进电子政务云安全审计管理体系建设。

（二）社会网络分析在风险管理中的应用

社会网络分析是一种用于研究个体或组织之间复杂关系的定量分析方法，近年来被引入于风险管理中，侧重研究风险因素间的相互影响，具体有：（1）风险传染机制研究。部分学者将其应用到金融、工程项目领域风险的研究中[13]，如娄燕妮等[14]探究交通领域PPP项目建设过程中的风险传导机制。部分学者的风险研究对象涉及社会稳定领域，对基层腐败网络进行结构分析。（2）风险管控策略研究。社会网络分析可以融合利益相关者理论，结合相关主体间的合作关系深层次发掘风险因素间的相互作用。赵国超等[15]基于社会网络分析，识别智慧社区运营的利益相关主体，给出风险缓解策略并检测风险控制效果，提出相应协同发展建议。

（三）社会网络分析在审计中的应用

隨着大数据等新技术的快速发展，审计工作开始智能化转型。将审计对象间的各种社会属性形式化，并用复杂网络再现其特定社会关系，对于审计主体查找关键人物或团体、进一步追查审计线索有重要意义[16]。社会网络分析在审计中的应用研究集中于：（1）审计线索发掘。吴益兵等[17]基于社会网络理论发现审计师和公司高管的社会网络关系会影响审计师选择、审计收费以及审计质量等一系列审计行为。结合具体案例，陈伟等[18]融合金融科技风险审计方法，以社会网络分析技术为基础设计一套金融科技系统用户管理风险审计方法，有关结论为信息系统审计师提供参考思路。（2）审计社会网络实践路径。目前审计社会网络分析应用实践仍处于探索阶段。吕天阳等[19]在深入研究已公开审计案例的基础上，阐明审计社会网络分析的数学基础和基本方法，搭建审计社会网络实践框架。在关联方交易审计案例中，杨超等[20]将交易作为节点引入社会网络，通过建模呈现关联方交易特有的闭环现象，并检验该模型效果，说明社会网络分析有利于拓展大数据审计方法，降低第三方机构承担的审计风险。

（四）文献述评

通过文献梳理发现，国内鲜有基于社会网络分析结合云安全风险审计治理的研究。云安全利益主体对应的安全风险不仅具有差异性，利益主体涉及的风险也存在相互作用关系。目前云安全风险研究多基于风险之间相互独立的假设，缺少系统梳理云平台利益相关主体和风险类型的定性研究，也缺乏云安全风险在利益相关主体间的传导量化研究。事实上风险之间存在一定的联系，分析风险间的扩散与联系，能使风险防范化解更为有效[21]。社会网络分析可以超越风险独立性分析带来的局限，为云安全风险关联性研究提供新思路和方法。本研究拟运用社会网络分析方法，建立利益相关主体风险关联网络，对多方利益主体涉及的云安全风险间的相互关系进行定量分析，探究云中重要利益相关者和重点风险类型，以第三方审计主体的视角提出更加有效的审计管控策略，为我国云安全审计治理研究做出贡献。

二、云安全利益相关主体及风险识别

（一）云安全利益相关主体识别

云安全风险与利益相关主体紧密结合，且安全风险会在利益主体间传导与扩散，系统梳理云安全风险利益相关主体是识别风险、对不同利益相关主体提出不同审计管理意见的首要环节。云平台建设过程中涉及的利益相关主体众多，可大致分为三类：云应用开发商、云服务提供商和云租户。在云平台建设过程中，云安全风险主要来源于云应用开发商和云服务提供商，随风险链条传播扩散，最终由云租户承担。云应用开发商所需的云计算资源皆由云服务商提供，开发者专注于设计创新用户所需的基本服务单元应用，然后发布到云服务提供商的服务库中[22]。云服务供应商为云租户提供云计算服务，包括管理基础物理设施、虚拟机、数据存储资源、API接口和网络设施等支撑云计算的必要设施，以及云计算所需运营维护与服务管理。云租户是云服务的使用者，根据业务需求付费“租用”云服务提供商的云计算资源。从专业分工角度可细分为云应用开发商、云服务提供商、云系统构建商、云设备提供商、云服务销售商、云服务部署交付商、云服务运营商和云租户等。其中云服务提供商所提供的云平台搭建、云资源运维服务众多，故在利益及风险承担方面能够涵盖云系统构建商、云设备提供商等较小利益主体的权责，因此本研究简化考虑模型，选取云应用开发商、云服务供应商和云租户三个最基本的云服务利益主体作为研究对象构建网络结构，量化云安全风险在三大利益主体间的传染关系，进而提出更加有效的云安全审计治理策略。

（二）云安全风险类型识别

云安全风险具有多区域渗透性、隐蔽关联性、复杂交叉性、对应利益相关主体风险差异性以及整体风险庞杂等特性，对其展开与利益相关主体结合的风险识别，后续审计管理必须综合各种风险因素。结合以上特点，通过对云安全风险相关文献梳理，总结出云安全风险类别主要分为云基础设施安全风险、云数据安全风险、云应用安全风险和云运维安全风险四类。具体安全风险类型界定和风险涉及主体见表1。

三、云安全风险研究设计

本研究将云安全风险社会网络分析步骤分为：（1）识别网络风险节点，评估关系强度；（2）社会网络可视化，量化风险在利益相关主体间的扩散；（3）分析网络指标，找出关键风险因素；（4）得出分析结论并提出相应风险管理对策。审计主体在审计管理流程中紧密结合社会网络分析步骤，有助于深层次挖掘云安全风险产生的关键点，提出有效审计建议以降低风险发生概率，提升各利益相关主体应对风险的能力。

（一）数据来源

本研究采用问卷调查法和专家访谈形式采集相关数据，以此刻画社会网络模型。数据获取分为两步，第一步针对研究设计包含风险因素和利益相关主体的调查问卷，通过电子邮件和电话访谈的方式向相关领域专家咨询，确定云平台各利益相关主体对应承担的风险共94种，确定为网络节点。第二步请专家量化风险之间的影响强度和发生概率，将关联强度等级划分为强、较强、一般、较弱、弱，赋予5、4、3、2、1的定量数值。汇总结果共计2 049条影响关系，作为网络的边。经过梳理确定云安全利益相关主体对应包含的风险类型、节点之间关系及强度。

（二）社会网络可视化

通过社会网络分析软件Ucinet6.0构建可视化云安全风险传染网络G（94，2 043），包含94项关键节点以及2 049条代表关系的边，如图1所示。

四、风险网络特征分析

本研究选取网络密度、节点度数、中介度和結构洞中间人等作为社会网络分析指标，探究云安全风险在利益相关主体间的传染扩散以及云安全风险中重点风险类型，由此审计主体能针对性地提供风险管控措施和审计管理意见。

（一）云安全风险整体网络密度分析

网络密度代表风险传染网络中各节点关系的密切程度。测算得出整体网络密度为0.2337，表明网络结构略为分散。同时由图1可得该网络具备分层特征，分布靠近网络中心的节点与其他节点关系密切，风险传染程度强，处于网络边沿位置的节点对其他节点的影响较小，风险传染程度弱。整体上该网络中“云服务提供商”和“云租户”是处于网络中心的利益主体，风险关系最为集中，风险之间的影响作用明显。

（二）云安全风险网络因素的关联性分析

节点度表示网络中节点与其他节点的连线数量。节点出度是指该节点向其他节点发出的关系条数，代表该风险对其他风险的影响程度。节点入度是该节点接收的关系条数，反映该风险受其他风险影响的程度。综合表2的测算结果，云应用开发商和云服务提供商两个利益相关主体所对应的风险类型出度较高，说明风险网络中云应用开发商和云服务供应商是主要的风险源头，充当“风险传播者”角色，而云租户所对应的风险类型入度较高，扮演更为被动的“风险接收者”角色，在风险网络中处于弱势地位，所对应的风险类型在其他利益主体涉及的风险变动时会受到更大冲击和影响，属于风险事件的结果呈现。

节点出入度分析显示云身份认证与访问控制安全风险、云网络安全设施服务的安全风险、云数据安全风险和云运维安全风险在网络中有较大的影响力，说明云应用开发商与云服务提供商对应的上述安全风险容易引起整体网络中其他风险的产生，针对这两类利益主体的风险管理是整体网络控制风险传染的关键。从风险传播途径来看，云应用开发商与云服务提供商涉及的安全风险处于传播链条前端，对此类风险的管控应该从源头着手。审计主体需要强化对以上利益相关主体重点云安全风险类型的审计，发掘对云环境中的安全漏洞，对威胁云安全的行为获取审计证据，评估安全保护机制的运行效果，并针对安全风险采取相应审计措施，由此提出更加全面的审计建议。

（三）云安全风险因素的控制地位分析

中介中心度呈现的是节点对通过它的关系路径的控制权，处于中介地位的节点将其他节点之间的联系路径连接起来，中介中心度数值越大表明該节点越处于中介地位，对于通过它的关系控制力越强，是链接众多风险发起者和接收者的关键纽带。

表3呈现了重要风险因素的中介中心度，其中S2R41（云服务提供商-风险监测预警）的中介中心度数值最大，表明云服务提供商对整个云的安全风险管理承担主要责任。云租户使用云服务后，将设备、网络资源、应用和数据的控制权全部或部分地转交给云服务提供商，因此对云服务提供商的风险管理能力提出很高的要求。数据结果显示重要中介风险因素基本上属于云服务提供商承担的风险，说明云服务提供商在整个风险网络中处于重要控制地位。中介中心度较高的节点主要是云服务提供商承担的运维安全、访问控制、云应用接口和数据存储等安全风险，在整个风险网络中起到重要连接作用。在实践中审计主体应着重评估云服务提供商的风险管理能力，提出有针对性的审计建议，加强其对风险的承担能力，可以有效控制安全风险的进一步扩散，缩短风险传染链条并降低风险的波及范围。

（四）云安全风险因素的代理能力分析

中间人角色占据网络中信息联络的重要地位，起到连接各子网络的“桥梁”作用。如果中间人拒绝做两者间的媒介，则它连接的两点或是两个子网络间的联系就会“断开”。因此，中间人是信息交流、矛盾协调的重要参与部分，是参与风险传导的关键角色。只要消除了处于关键节点上的风险类型，网络中的大量关系被切断，就能阻断风险传播，整个网络的风险随之降低。中间人角色可以分为5类：协调人、守门人、代理人、顾问以及联络人。据表4数据，可将云服务提供商确认为最具代理特性的利益相关主体，涉及的风险类型包括云应用访问控制、运维能力、数据安全、虚拟资源安全等安全风险，说明以上风险类型担任重要中间人角色。其中S2R41（云服务提供商-风险监测预警）最具代理性，它扮演了许多次协调人的角色，在风险网络中与另外两个利益相关主体涉及风险的联络较多，在协调与其他利益相关主体的矛盾时占据了优势地位，是风险控制的关键。

五、基于云安全风险传染的审计治理策略

通过上述利益相关主体结合云安全风险社会网络分析，审计主体可以在云安全风险项目中挖掘不同利益主体涉及风险之间的影响作用，并识别出影响其他风险的关键因素，有针对性地向被审单位提出审计治理策略，进一步启发利益相关主体对云安全风险的预防和控制。由于不同的主体识别出的关键风险具有差异性，审计主体应对不同的利益相关主体提出具有针对性的审计治理建议，具体分析如下。

（一）云应用开发商

云应用开发商在风险传染网络中作为“风险传播者”的角色之一，对云应用开发商的安全审计是为了从源头上控制云服务安全风险。审计主体需要从以下内容对云应用开发商重点实施审计管理工作。

1.身份认证和访问控制。在多租户的云计算环境中，用户的身份认证和访问控制是云安全的一大难题。云应用开发商在设计满足用户需求的应用时应合理分配不同用户的访问权限，确保用户能获取所需资源，同时也要防止任意访问资源导致其他用户信息的泄露篡改。审计主体应审查云应用系统能够实现统一身份认证和单点登录功能，能有效验证用户提供的身份信息，如口令、密码、智能卡、指纹和虹膜等认证方式。在系统使用多种安全凭证身份认证的情形下，审计主体应审查安全凭证的API调用源鉴别情况和多因素认证情况。审计主体应审查云应用开发商是否提供访问控制功能以及使用恰当的访问控制模型，对于云端访问控制相关信息要能够保证定期更新以确保用户信息和访问控制策略的同步性，实现信息远程同步。同时审计主体应当对应用授权和分离功能进行审查，需追踪云应用系统中用户的访问行为，通过留存日志信息确立审计证据，进而为访问控制机制的改进提出审计策略。

2.应用设计和应用部署。审计主体应检查云应用开发商是否依照用户需求，结合云服务提供商提供的资源进行云应用服务的规划、设计和开发，并配置相应的功能实施工具，云应用服务需采用成熟、可用的接口和技术，并支持协同其他应用系统。审计主体应审查云应用开发商在应用设计时能明确应用功能的类型和属性、保密要求和使用者信息以及所需接口等内容，将应用系统模块化，为应用的迁移部署做好准备。云应用开发商根据用户申请的应用功能内容合理进行应用功能和部署服务的实施，提供技术手段布置应用系统，支持修改应用和服务包配置。在多租户情况下，审计主体应审查云应用系统是否设计了通用、基础性的业务应用，在云平台内实现统一部署和分配用户权限，同时审查云应用开发商的技术人员能否协助用户进行应用的使用培训。

（二）云服务提供商

云服务提供商不仅是云安全风险的产生源头之一，也扮演了大量风险传播“中介者”的角色。对云服务提供商实施的安全审计是为了控制云在运行过程中的安全风险。审计主体需要执行以下重点审计内容。

1.物理基础设施。云物理基础设施主要包含机房、服务器、电源、CPU、GPU、存储介质、通信传输电缆、网络设备等硬件设施，是云运行必不可少的实体资源。审计主体应当结合自然因素和人为因素两方面检查以上设施的安全性，如从自然因素考虑，审查云服务提供商在为机房选址时是否提供防雷击、防水防火、防静电、防电磁泄露等服务；从人为因素考虑，审查云服务提供商提供的机房物理环境是否满足云运行的需求，如机房内温湿度、洁净度等内容，对物理设备是否进行定期的维护和保养，做好设备防盗措施。

2.虚拟基础资源。虚拟基础资源包含宿主机、虚拟机、虚拟机监控器等部分。审计主体需要以多角度多层次分析云服务提供商使用的虚拟化技术，审查其制定的安全措施，以第三方视角控制虚拟基础资源面临的安全风险。首先，由于通过入侵宿主机攻击虚拟机会造成极大的安全风险，审计主体应审查云服务提供商构建的宿主机入侵检测系统并对其进行评估，判断该系统能否有效识别和阻止针对宿主机的攻击行为，能否对宿主机操作系统、网络和应用程序等进行监控。其次，虚拟机面临着窃取、篡改、跳跃、逃逸、VMBR攻击、拒绝服务攻击等各类安全威胁，因此审计主体应当审查云服务商提供的虚拟机操作系统的安全性，测试虚拟机隔离、监控能力，审查服务商是否提供虚拟化安全接口，以及为提升安全性能云服务提供商有无及时提供虚拟化软件补丁。审计主体需审查云服务提供商虚拟机的安全日志和安全审计情况并给出完善策略。最后，在虚拟化层中Hypervisor机制能保障监视器的安全运行，起到重要的作用，审计主体应当检查Hypervisor机制的完整性，保证监控器的全面覆盖，是否交替综合地使用虚拟与物理防火墙，避免遗漏来自虚拟网络的安全威胁，同时通过判断虚拟机用户权限分配的合理性，减少非法访问，降低Hypervisor的安全隐患，完善监控保护体系构建安全防御措施。

3.数据安全和隐私保护。云数据安全是云环境下安全问题的核心要素。大数据时代数据信息呈现几何级数式增长，使得数据安全风险更加复杂。如果缺乏有效的安全保護机制，就有可能面临隐私泄露的问题。云计算模式下由云服务提供商完成云数据的存储计算任务，审计主体应从数据存储安全技术入手，检查服务提供商使用的加密算法，评价对称加密和非对称加密两种算法的合理性和安全性，审查如基于顺序扫描、DAS数据检索模型和XML数据的密文检索方案，挖掘密钥管理中的安全线索，固定全面的审计证据，从审计视角为数据安全管理提出更加全面的建议。同时审计主体应当关注云服务提供商对用户数据隐私的管控，审查是否存在利用Cookie方法追踪用户访问习惯等诸多不当行为。审计主体需审查云服务商提供的隐私保护协议和隐私保护流程，以此评判云数据隐私保护流程和状况，避免服务商违规利用用户个人信息。

4.云运维安全能力。云运维管理是云计算顺利运行的保障之一，因此云运维安全在整个云安全问题中起到重要的作用。审计主体应审查云服务提供商是否按照合约对云的运行过程展开全方位的监督和管理，通过资源的整合支撑向用户提供成熟的运行保障服务，包括云服务提供商的日常运行保障服务、运行相应服务和对已有服务的升级优化、补丁更新等。同时检查云服务提供商是否能识别风险的可能性和影响并提供风险评估报告，以此实施恰当的风险管控措施。由于云计算环境容易受到外部攻击，审计主体应测试云服务提供商设置的监测预警机制是否科学有效，如云服务提供商部署的防火墙、VPN、IDS/IPS 等网络安全设备监控云环境中的网络资源，重点监控 Hypervisor中是否存在非授权访问现象，是否存在Rootik、VM Escape攻击等，并加强对虚拟环境的监控。此外，当安全事故发生后，云服务提供商要有完整的事故响应管理流程，确保安全事故能够得到及时有效的报告和处理。

（三）云租户

云租户在风险传染网络中主要作为“风险接收者”的角色。对云租户实施的安全审计是为了保证云租户在使用云服务时的安全。审计主体需要重点关注以下审计内容。

1.服务内容。审计主体应当关注云租户使用云服务时是否选择了较为安全可靠的云服务提供商，能否通过云服务提供商提供的服务状态了解和掌握云资源的运行情况，云租户是否做好了云数据的备份，如虚拟机镜像、业务系统数据、用户数据等备份，避免云服务中断丢失数据。审计主体应评估云租户建立的云应用模式和安全管理制度是否科学、完整，是否与服务提供商签署运行服务协议并加强运行技术培训指导，如云产品与服务功能的咨询、对用户的功能介绍、使用方法指导等，能否在云服务提供商升级云资源优化措施时及时更新资源配置项，能否建立运行故障响应机制，在技术人员的指导下解决故障，并形成作业报告和流程图。此外，为强化安全管理，审计主体应审查云租户能否定期自行检测安全管理措施的有效性，或委托第三方专业机构进行测评和检查安全漏洞。

2.运行监管。审计主体应审查云租户在使用云服务的过程中是否能对自身的行为进行监管，如向正常运行的云平台传输病毒程序导致云平台的混乱，在云平台上发布黄色或违法反动内容阻碍其正常运行，对云平台其他用户进行恶意攻击，利用黑客技术窃取、篡改其他用户的隐私机密数据，利用云平台的技术漏洞攻击云服务提供商、客户乃至政府机构，对其安全权益造成严重威胁等。此外，审计主体应调查云租户能否对自己负责的云环境安全措施进行检查监督，如对云租户的物理基础设备进行日常维护管理，对包括管理员在内的所有自建账号进行安全监控，发现非法访问账号时及时阻拦处理，安装正确的杀毒软件并及时更新浏览器版本和插件，做好云客户端的安全防护等，力求为云租户安全管理提出更完善的审计意见。

六、结语

本研究在识别云安全利益相关主体和关键风险的基础上，结合社会网络分析法构建云安全风险传染网络，帮助审计主体将不同利益相关主体和风险类别对应起来，量化利益相关主体涉及云安全风险之间的相互作用关系，提出风险管理步骤，挖掘风险传染过程中的关键节点，有助于审计主体针对性地提出风险治理策略，提升相关利益主体对云安全风险的预防和控制能力。该方法突破了当前假设云安全风险之间相互独立的局限性，在审计主体进行云安全审计时将风险之间的扩散与联系考虑进来，通过梳理利益相关主体之间的风险传导，对提升云安全风险审计管理的针对性和有效性有积极的作用。但本研究仍然存在不足，一是研究中分析的利益相关主体较少，应将利益相关主体分类细化，引入风险网络展开进一步研究；二是在量化云安全风险传染过程时主要依赖专家主观打分，且设计的打分流程较为烦琐；三是提出的关键风险审计管理策略有待后续研究进一步深化。

【参考文献】

［1］ 郑禄鑫，张健.云安全面临的威胁和未来发展趋势［J］.信息网络安全，2021，21（10）：17-24.

［2］ MALHOTRA S，DOJA M N，ALAM B，et al.Cloud database management system security challenges and solutions：an analysis［J］.CSI Transactions on ICT，2016，4：2-4.

［3］ 阮树骅，瓮俊昊，毛麾，等.云安全风险评估度量模型［J］.山东大学学报（理学版），2018，53（3）：71-76，81.

［4］ C LEE，S KIM，Y YEO，et al.Proposal of security requirements based on layers and roles for the srandardization of cloud computing security technology［J］.Journal of Security Engineering，2013，10（4）：473-488.

［5］ 张晓娟，郭娟.国外政府云计算安全标准建设及启示［J］.电子政务，2016（4）：83-90.

［6］ 冯朝胜，秦志光，袁丁，等.云计算环境下访问控制关键技术［J］.电子学报，2015，43（2）：312-319.

［7］ 王于丁，杨家海.DACPCC：一种包含访问权限的云计算数据访问控制方案［J］.电子学报，2018，46（1）：236-244.

［8］ 章谦骅，章坚武.基于云安全技术的智慧政务云解决方案［J］.电信科学，2017，33（3）：107-111.

［9］ 王会金，刘国城.大数据时代电子政务云安全审计策略构建研究［J］.审计与经济研究，2021，36（4）：1-9.

［10］ 孔丹，马兆丰，蒋铭.基于云平台的安全审计系统设计与实现［J］.信息安全与通信保密，2013（10）：66-70.

［11］ 陈康康.面向云存储的身份认证机制和数据共享方法的研究［D］.北京：北京邮电大学硕士学位论文，2015.

［12］ 刘国城.基于过程的电子政务云安全审计模式研究［J］.新疆大学学报（哲学·人文社会科学版），2016，44（1）：28-35.

［13］ GLICKMAN T S，KHAMOOSHI H.Using hazard networks to determine risk reduction strategies［J］.Journal of the Operational Research Society，2005，56（11）：1265-1272.

［14］ 婁燕妮，孙洁，李秀婷，等.基于SNA的交通领域PPP项目利益相关者风险传染研究——以刺桐大桥为例［J］.财政研究，2018（2）：52-63，120.

［15］ 赵国超，吴佩一，虞晓芬.智慧社区运营的主体识别与社会网络分析［J］.浙江大学学报（理学版），2022，49（3）：384-390.

［16］ 赵琛.审计对象关系网络构建方法研究［J］.审计研究，2016（6）：36-41.

［17］ 吴益兵，廖义刚，林波.社会网络关系与公司审计行为——基于社会网络理论的研究［J］.厦门大学学报（哲学社会科学版），2018（5）：65-72.

［18］ 陈伟，詹明惠，陈文夏.基于社会网络分析的金融科技系统用户管理风险审计方法研究［J］.中国注册会计师，2019（12）：74-78.

［19］ 吕天阳，邱玉慧，殷鹏.审计社会网络分析的理论、特征及实践路径［J］.财会月刊，2020（13）：103-111.

［20］ 杨超，朱靖翔，胡筱臻，等.基于社会网络的审计对象关联方关系发现［J］.财会月刊，2022（22）：110-115.

［21］ 张雅婷，蔡宗翰，姚艳.基于社会网络分析的地方PPP项目风险管理研究［J/OL］.重庆大学学报（社会科学版），2020.

［22］ 刘云浩，杨启凡，李振华.云计算应用服务开发环境：从代码逻辑到数据流图［J］.中国科学（信息科学），2019，

49（9）：1119-1137.