什么是 IT 一般控制措施 (ITGC)？
IT一般控制（ITGCs）指适用于组织整个IT环境的基础性控制措施，旨在确保信息系统的完整性、安全性和可靠性。它们为应用控制的合理制定和有效运行提供支持，助力保障整体控制环境的健全性。
此类控制范围广泛，覆盖组织内所有系统和用户，通常包括与系统访问、运营管理、变更管理及数据备份相关的政策、流程和活动。
一、ITGCs为何重要？
ITGCs是IT系统内部控制的基础。缺乏这些控制措施，即便最完善的应用层控制也可能失效。其重要性体现在以下多个方面。
- 法规合规要求：ITGCs是满足GDPR（通用数据保护条例）、SOX（萨班斯-奥克斯利法案）、HIPAA（健康保险流通与责任法案）、ISO 27001（信息安全管理体系标准）及NIST（美国国家标准与技术研究院）等合规标准与框架的必备条件。
- 审计准备：审计人员会对ITGCs进行评估，以确定在财务审计或合规审计过程中是否可以信赖组织的IT系统。
- 安全与风险管理：有效的ITGCs可降低未授权访问、欺诈、数据泄露及运营错误的风险。
- 业务连续性：ITGCs通过数据备份、灾难恢复和系统完整性保障措施，提升组织的抗风险能力。
二、ITGCs的核心类别
ITGCs包含多个核心类别，每类均针对系统管理与安全的关键环节。
访问控制
此类控制确保仅经授权人员可根据其分配的角色和职责访问IT系统和数据。
变更管理控制
变更管理控制规范系统、应用程序和基础设施相关修改的实施流程。
职责分离（SoD）
职责分离确保关键任务由不同人员分工执行，以防范利益冲突、欺诈或错误。
系统运营控制
此类控制与IT系统的日常运行和维护相关。
审计日志与责任追溯
此类控制确保数据定期备份，并能在灾难或故障发生时成功恢复。
审计日志与监控
此类控制确保所有系统活动均被记录和监控，以便及时发现可疑或未授权行为。
三、ITGCs与应用控制的区别？
尽管ITGCs和应用控制听起来相似，但二者的适用范围存在差异。
- ITGCs适用于各类系统和流程，确保整个IT环境处于可控、安全的状态。
- 应用控制针对特定应用程序，聚焦于处理过程的准确性、完整性和有效性（例如输入验证）。
二者对于维持组织的安全态势均不可或缺，但ITGCs为应用控制的有效运行提供了基础框架。
四、ITGCs与合规法规
| 合规法规 | 与ITGCs的关联 | 受影响的核心ITGCs领域 | 审计人员关注要点 |
|---|---|---|---|
| 萨班斯-奥克斯利法案（SOX） | 通过可靠的IT系统确保财务数据的准确性 | 访问控制、变更管理、审计日志、职责分离 | 财务系统访问限制的证据、变更审批流程的规范性、修改操作的审计轨迹 |
| 健康保险流通与责任法案（HIPAA） | 保护电子受保护健康信息（ePHI）的完整性和机密性 | 访问控制、审计日志、系统运营、备份与恢复 | 患者数据的角色化访问、访问尝试记录、灾难恢复准备情况 |
| 通用数据保护条例（GDPR） | 要求组织保障个人数据安全并证明责任履行情况 | 访问控制、审计日志、备份与恢复 | 个人数据的受控访问、数据泄露检测能力、数据访问/修改日志的可追溯性 |
| 支付卡行业数据安全标准（PCI DSS） | 确保信用卡数据及相关信息系统的安全处理 | 访问控制、审计日志、变更管理 | 持卡人数据的访问限制、实时活动监控、正式的变更控制流程 |
| 信息及相关技术控制目标（COBIT） | 聚焦IT与业务目标对齐的IT治理与管理框架 | 所有ITGCs领域，尤其是职责分离和变更控制 | 治理结构、控制活动、与IT风险挂钩的绩效指标 |
五、实施ITGCs面临的挑战
尽管ITGCs对维持组织安全态势至关重要，但实施过程中可能面临以下挑战：
- 缺乏对访问权限和变更的集中可视化管控
- 审计准备工作依赖人工，易出错
- 在混合云或云环境中难以维持控制的一致性
- 员工在治理控制方面的专业能力有限
六、ADManager Plus如何助力ITGCs实施？
理解ITGCs固然重要，但如果没有合适的工具支持，在整个Active Directory（AD，活动目录）环境中落地实施这些控制措施仍会困难重重。ManageEngine ADManager Plus正是解决这一问题的理想工具。
ADManager Plus是一款全面的AD管理与报表解决方案，可帮助组织有效执行ITGCs。
访问控制
- 为委派管理员和技术人员实施角色化访问控制
- 自动化用户配置和注销流程，减少人工错误
- 应用精细化权限控制，限制AD修改操作
- 通过详细报表跟踪登录/注销活动、密码重置等操作
变更管理控制
- 为所有AD变更实施基于自定义工作流的审批流程
- 完整记录变更执行人、变更内容和变更时间，形成审计轨迹
- 安全地调度和自动化重复性AD任务，确保责任可追溯
系统运营
- 自动化日常维护任务，如组清理和过期账户管理
- 生成符合合规要求的用户、组和GPO（组策略对象）变更报表
- 通过定时报表自动跟踪AD变更
审计日志与责任追溯
- 合规审计关键支撑模块，全面留存控制台操作历史，构建完整追溯链条。支持报表导出适配审计合规需求，助力轻松应对检查，精准界定责任，为风险防控提供有力保障。
常见问题（FAQs）
- ADManager Plus 是什么？
ADManager Plus 是一个完全基于 Web 的产品，提供统一的平台来管理活动目录，可用于批量创建活动目录用户、修改用户帐户属性、创建和查看报表、委派安全角色等。
- ADManager Plus 支持什么操作系统？
支持 Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008、Windows 10、Windows 8.1、Windows 8、Windows 7 等。
- 可以添加多个域么？
在启动的时候，ADManager Plus 会添加所有发现的域，也可以手动添加域。
