11.6 審計的審查、分析和報告

11.6.1一般要求

云服務商應：

a）按照[賦值：云服務商定義的頻率]對審計記錄進行審查和分析，以發現[賦值：云服務商定義的不當或異常活動]，并向[賦值：云服務商定義的人員或角色]報告。

b）當法律法規、客戶的需求或信息系統面臨的威脅環境發生變化時，調整對審計記錄進行審查、分析、報告的策略。

c）向客戶提供審計分析報告，該報告至少包括下述內容，以便對云服務商的服務情況進行監管：

1）提供的云計算性能指標是否達到服務水平協議的要求。

2）云計算平臺信息安全狀態的整體描述。

3）審計中發現的異常情況以及處置情況。

4）云計算平臺中涉及客戶的敏感操作的情況及其統計分析。

11.6.2增強要求

云服務商應：

a）使用自動機制對審查、分析和報告過程進行整合，以支持對可疑活動的調查和響應。

b）對不同審計庫上的審計記錄進行關聯性分析，以便形成整體態勢感知。