什么是 IT 一般控制措施 (ITGC)？

IT一般控制（ITGCs）指适用于组织整个IT环境的基础性控制措施，旨在确保信息系统的完整性、安全性和可靠性。它们为应用控制的合理制定和有效运行提供支持，助力保障整体控制环境的健全性。

此类控制范围广泛，覆盖组织内所有系统和用户，通常包括与系统访问、运营管理、变更管理及数据备份相关的政策、流程和活动。

一、ITGCs为何重要？

ITGCs是IT系统内部控制的基础。缺乏这些控制措施，即便最完善的应用层控制也可能失效。其重要性体现在以下多个方面。

法规合规要求：ITGCs是满足GDPR（通用数据保护条例）、SOX（萨班斯-奥克斯利法案）、HIPAA（健康保险流通与责任法案）、ISO 27001（信息安全管理体系标准）及NIST（美国国家标准与技术研究院）等合规标准与框架的必备条件。
审计准备：审计人员会对ITGCs进行评估，以确定在财务审计或合规审计过程中是否可以信赖组织的IT系统。
安全与风险管理：有效的ITGCs可降低未授权访问、欺诈、数据泄露及运营错误的风险。
业务连续性：ITGCs通过数据备份、灾难恢复和系统完整性保障措施，提升组织的抗风险能力。

二、ITGCs的核心类别

ITGCs包含多个核心类别，每类均针对系统管理与安全的关键环节。

访问控制
此类控制确保仅经授权人员可根据其分配的角色和职责访问IT系统和数据。

变更管理控制
变更管理控制规范系统、应用程序和基础设施相关修改的实施流程。

职责分离（SoD）
职责分离确保关键任务由不同人员分工执行，以防范利益冲突、欺诈或错误。

系统运营控制
此类控制与IT系统的日常运行和维护相关。

审计日志与责任追溯
此类控制确保数据定期备份，并能在灾难或故障发生时成功恢复。

审计日志与监控
此类控制确保所有系统活动均被记录和监控，以便及时发现可疑或未授权行为。

三、ITGCs与应用控制的区别？

尽管ITGCs和应用控制听起来相似，但二者的适用范围存在差异。

ITGCs适用于各类系统和流程，确保整个IT环境处于可控、安全的状态。
应用控制针对特定应用程序，聚焦于处理过程的准确性、完整性和有效性（例如输入验证）。
二者对于维持组织的安全态势均不可或缺，但ITGCs为应用控制的有效运行提供了基础框架。

四、ITGCs与合规法规

五、实施ITGCs面临的挑战

尽管ITGCs对维持组织安全态势至关重要，但实施过程中可能面临以下挑战：

缺乏对访问权限和变更的集中可视化管控
审计准备工作依赖人工，易出错
在混合云或云环境中难以维持控制的一致性
员工在治理控制方面的专业能力有限

六、ADManager Plus如何助力ITGCs实施？

理解ITGCs固然重要，但如果没有合适的工具支持，在整个Active Directory（AD，活动目录）环境中落地实施这些控制措施仍会困难重重。ManageEngine ADManager Plus正是解决这一问题的理想工具。
ADManager Plus是一款全面的AD管理与报表解决方案，可帮助组织有效执行ITGCs。