银行IT系统运维风险控制有哪些手段

在这个SOX中关于IT审计过程中间，我们需要相关的像C-SOX安全一些策略也好，规范条例也好，真正实现这样一个安全控制和管理。

IT控制在每一个公司中存在，至少是下面三个因素，像决策管理、商务流程和IT服务。决策管理是建立在实体上，就是人的因素上，如果在一个企业中，不管是IT部门的负责人，还是一个企业的CEO也好，高层管理人员，如果他们没有充分地认识到IT管理的安全，首先来讲，就决定在IT层面上将不可能真正做到一种安全。其次是商务流程，商务流程就是说我们因为是要通过我们这些系统，来给我们企业创造价值，IT永远是作为一个帮助企业的业务部门来实现自身价值的部门。所以通过商务上由于业务的需求，我们引进了很多商务软件，包括大型ERP系统，通过这样系统跟我们IT硬件相结合在一起，形成高效一个系统集成这样一个概念。

IT服务这一块，除了日常的IT维护和管理等等，它来决定服务好坏，同样决定安全非常重要的因素。其实我们也看到这样一张图表，这包括了SOX法案所要遵循的部分，中间包括实体层控制，这也给大家解释过了。现在ITAC应用方面，就是我们讲大型系统。再往下最底层是我们ITGC一般应用控制，在这个控制中间我们简单成为系统开发、系统变更、运营管理、安全管理四大块，我常常比喻为是一个金字塔形的框架。在金字塔的底层是由ITGC来控制的，中间是应用程序控制方面，在塔尖一定是人的控制，通过这样一个搭建结构才能保证我们整个IT的在大型企业中，IT非常安全的控制。

再用一个同样的图表来给大家解释一下，在我们ITAC和ITGC相近的关系，上面有一系列安全产品，这样搭建我们IT的基础安全措施，上面是我们常见的财务系统，不管是什么样的系统，它也应该是只有秉承安全的，上面才安全，上面是我们业务系统、采购系统、销售系统等等，我们财务相关接口实现有效的管理。再往上我们可以看到通过一系列这样的流程，最后我们呈现这份财务报表，为什么在说到C-SOX当中大家说我们需要做IT安全，在整个《萨班斯法》并没有说到IT审计，但是在我们日益们上市公司做审计的时候面临财务审计，基于这样的原因，在ITGC大概控制点，这是AC准确、完整、授权职责分离。

这是ITGC和ITAC关系的图表，首先从信息管理和人事结构，这是一个公司，其次是上升到人的，在有是整个公司的管理，凭险评估，再就是流程层面评估，分为早期，系统与数据所有者，包括业务有关数据控制等等。

低压配电系统TN、TT、IT的比较

根据现行的国家标准《低压配电设计规范》（GB50054）的定义，将低压配电系统分为三种，即TN、TT、IT三种形式。其中，第一个大写字母T表示电源变压器中性点直接接地；I则表示电源变压器中性点不接地（或通过高阻抗接地）。第二个大写字母T表示电气设备的外壳直接接地，但和电网的接地系统没有联系；N表示电气设备的外壳与系统的接地中性线相连。

TN系统：电源变压器中性点接地，设备外露部分与中性线相连。

TT系统：电源变压器中性点接地，电气设备外壳采用保护接地。

IT系统：电源变压器中性点不接地（或通过高阻抗接地），而电气设备外壳电气设备外壳采用保护接地。

1、 TN系统

电力系统的电源变压器的中性点接地，根据电气设备外露导电部分与系统连接的不同方式又可分三类：即TN—C系统、TN—S系统、TN—C—S系统。下面分别进行介绍。

11、TN—C系统

其特点是：电源变压器中性点接地，保护零线（PE）与工作零线（N）共用。

（1）它是利用中性点接地系统的中性线（零线）作为故障电流的回流导线，当电气设备相线碰壳，故障电流经零线回到中点，由于短路电流大，因此可采用过电流保护器切断电源。TN—C系统一般采用零序电流保护；

（2）TN—C系统适用于三相负荷基本平衡场合，如果三相负荷不平衡，则PEN线中有不平衡电流，再加一些负荷设备引起的谐波电流也会注入PEN，从而中性线N带电，且极有可能高于50V，它不但使设备机壳带电，对人身造成不安全，而且还无法取得稳定的基准电位；

（3）TN—C系统应将PEN线重复接地，其作用是当接零的设备发生相与外壳接触时，可以有效地降低零线对地电压。

由上可知，TN-C系统存在以下缺陷：

（1）当三相负载不平衡时，在零线上出现不平衡电流，零线对地呈现电压。当三相负载严重不平衡时，触及零线可能导致触电事故。

（2）通过漏电保护开关的零线，只能作为工作零线，不能作为电气设备的保护零线，这是由于漏电开关的工作原理所决定的。

（3）对接有二极漏电保护开关的单相用电设备，如用于TN-C系统中其金属外壳的保护零线，严禁与该电路的工作零线相连接，也不允许接在漏电保护开关前面的PEN线上，但在使用中极易发生误接。

（4）重复接地装置的连接线，严禁与通过漏电开关的工作零线相连接。

TN-S供电系统，将工作零线与保护零线完全分开，从而克服了TN-C供电系统的缺陷，所以现在施工现场已经不再使用TN-C系统。

12、 TN—S系统

整个系统的中性线（N）与保护线（PE）是分开的。

（1）当电气设备相线碰壳，直接短路，可采用过电流保护器切断电源；

（2）当N线断开，如三相负荷不平衡，中性点电位升高，但外壳无电位，PE线也无电位；

（3）TN—S系统PE线首末端应做重复接地，以减少PE线断线造成的危险。

（4）TN—S系统适用于工业企业、大型民用建筑。

目前单独使用独一变压器供电的或变配电所距施工现场较近的工地基本上都采用了TN—S系统，与逐级漏电保护相配合，确实起到了保障施工用电安全的作用，但TN—S系统必须注意几个问题：

（1）保护零线绝对不允许断开。否则在接零设备发生带电部分碰壳或是漏电时，就构不成单相回路，电源就不会自动切断，就会产生两个后果：一是使接零设备失去安全保护；二是使后面的其他完好的接零设备外壳带电，引起大范围的电气设备外壳带电，造成可怕的触电威胁。因此在《JGJ46-88施工现场临时用电安全技术规范》规定专用保护线必须在首末端做重复接地。

（2）同一用电系统中的电器设备绝对不允许部分接地部分接零。否则当保护接地的设备发生漏电时，会使中性点接地线电位升高，造成所有采用保护接零的设备外壳带电。

（3）保护接零PE线的材料及连接要求：保护零线的截面应不小于工作零线的截面，并使用黄/绿双色线。与电气设备连接的保护零线应为截面不少于25mm2的绝缘多股铜线。保护零线与电气设备连接应采用铜鼻子等可靠连接，不得采用铰接；电气设备接线柱应镀锌或涂防腐油脂，保护零线在配电箱中应通过端子板连接，在其他地方不得有接头出现。

13、 TN—C—S系统

它由两个接地系统组成，第一部分是TN—C系统，第二部分是TN—S系统，其分界面在N线与PE线的连接点。

（1）当电气设备发生单相碰壳，同TN—S系统；

（2）当N线断开，故障同TN—S系统；

（3）TN—C—S系统中PEN应重复接地，而N线不宜重复接地。

PE线连接的设备外壳在正常运行时始终不会带电，所以TN—C—S系统提高了 *** 作人员及设备的安全性。施工现场一般当变台距现场较远或没有施工专用变压器时采取TN—C—S系统。

2、 TT供电系统

电源中性点直接接地，电气设备的外露导电部分用PE线接到接地极（此接地极与中性点接地没有电气联系）

在采用此系统保护时，当一个设备发生漏电故障，设备金属外壳所带的故障电压较大，而电流较小，不利于保护开关的动作，对人和设备有危害。为消除T系统的缺陷，提高用电安全保障可靠性，根据并联电阻原理，特提出完善TT系统的技术革新。技术革新内容是：用不小于工作零线截面的绿/黄双色线（简称PT线），并联总配电箱、分配电箱、主要机械设备下埋设的4-5组接地电阻的保护接地线为保护地线，用绿/黄双色线连接电气设备金属外壳。它有下列优点：1）单相接地的故障点对地电压较低，故障电流较大，使漏电保护器迅速动作切断电源，有利于防止触电事故发生。2）PT线不与中性线相联接，线路架设分明、直观，不会有接错线的事故隐患；几个施工单位同时施工的大工地可以分片、分单位设置PT线，有利于安全用电管理和节约导线用量。3）不用每台电气设备下埋设重复接地线，可以节约埋设接地线费用开支，也有利于提高接地线质量并保证接地电阻≤10Ω，用电安全保护更可靠。

TT系统在国外被广泛应用，在国内仅限于局部对接地要求高的电子设备场合，目前在施工现场一般不采用此系统。但如果是公用变压器，而有其它使用者使用的是TT系统，则施工现场也应采用此系统。

3、 IT系统

电力系统的带电部分与大地间无直接连接（或经电阻接地），而受电设备的外露导电部分则通过保护线直接接地。

这种系统主要用于10KV及35KV的高压系统和矿山、井下的某些低压供电系统，不适合在施工现场应用，故在此不再分析。

建设部新颁发的《建筑施工安全检查标准》（JGJ59-99）规定：施工现场专用的中性点直接接地的电力系统中必须采用TN-S接零保护系统。因此，TN-S接零保护系统在施工现场中得到了广泛的应用，但如果PE线发生断裂或与电气设备未做好电气连接，重复接地阻值达不到安全的要求，也同样会发生触电事故，为了提高TN-S接零保护系统的安全性，在此提出等电位联接概念。所谓等电位联结，是将电气设备外露可导电部分与系统外可导电部分（如混凝土中的主筋、各种金属管道等）通过保护零线（PE线）作实质上的电气连接，使二者的电位趋于相等。应注意差异，即等电位联结线正常时无电流通过，只传递电位，故障时才有电流通过。等电位联结的作用。（1）总等电位联结能降低预期接触电压；（2）总等电位联结能消除装置外沿PE线传导故障电压带来的电击危险。因此施工现场也应逐步推广该技术。当然，无论采取何种接地形式都绝不是万无一失绝对安全的。施工现场临时用电必须严格按JGJ46-88规范要求进行系统的设置和漏电保护器的使用，严格履行施工用电设计、验收制度，规范管理，才能杜绝事故的发生。

数字化时代，银行业务的快速发展，计算机的系统数量和部署规模均呈快速增长态势，且加上应用系统的微服务化，系统间的关联更为复杂，也相应提升了对运维系统的要求与难度。虽然银行内建立了较为全面的监控体系，但是面对千百万的告警风暴时，故障定位解决问题十分困难，特别不利于系统安全、持续、稳定运行。

数字化转型中，以用户为中心是驱动金融行业的核心基础。所以，对于像银行、证券公司这样拥有海量运维数据的金融行业来说，智能运维势在必行。采用先进的运维手段（智能运维）则是企业不断前行的源源动力。

说一个我们正在服务的客户案例吧，客户是一家商业银行。

这家商业银行通过擎创科技提供的夏洛克AIOps解决方案，建设了一套智能运维数据分析系统，集中收集和分析十多个系统的运维数据，包括应用系统日志、告警、性能指标、交易指标和网络性能指标等，并通过机器学习算法实现指标异常检测、关联分析和告警收敛，以此加快问题定位效率，保障系统运行。为了有效提高对异常情况的监测和未来趋势预测，提前发现系统隐患，该商业银行通过擎创夏洛克AI实验室，训练并生成了基于业务场景的多类算法，实现系统的单指标异常检测，极大降低系统故障发生的概率。

与此同时，该商业银行还用了擎创夏洛克指标解析中心和告警辨析中心，通过此实现多维指标关联分析，帮助快速发现和定位系统问题，提升排障效率；实现告警收敛，降低告警风暴，加快定位时间。目前告警压缩率达到了80%以上，运维人员的告警处理效率明显提高。实现了IT系统运维的智能化，为业务健康运转提高强力保障。

其实，擎创科技此前便服务过众多银行类客户，如中国银联、交通银行、浦发银行和宁波银行等，帮助其构建了智能化的运维平台，提升了客户运维效率，且目前很多项目都进入到二期、三期建设阶段。

以下解答摘自谷安天下咨询顾问发表的相关文章：

企业内部控制基本规范包含的五要素框架：

（一）内部环境。内部环境是影响、制约企业内部控制建立与执行的各种内部因素的总称，是实施内部控制的基础。内部环境主要包括治理结构、组织机构设置与权责分配、企业文化、人力资源政策、内部审计机构设置、反舞弊机制等。

（二）风险评估。风险评估是及时识别、科学分析和评价影响企业内部控制目标实现的各种不确定因素并采取应对策略的过程，是实施内部控制的重要环节。风险评估主要包括目标设定、风险识别、风险分析和风险应对。

（三）控制措施。控制措施是根据风险评估结果、结合风险应对策略所采取的确保企业内部控制目标得以实现的方法和手段，是实施内部控制的具体方式。控制措施结合企业具体业务和事项的特点与要求制定，主要包括职责分工控制、授权控制、审核批准控制、预算控制、财产保护控制、会计系统控制、内部报告控制、经济活动分析控制、绩效考评控制、信息技术控制等。

（四）信息与沟通。信息与沟通是及时、准确、完整地收集与企业经营管理相关的各种信息，并使这些信息以适当的方式在企业有关层级之间进行及时传递、有效沟通和正确应用的过程，是实施内部控制的重要条件。

（五）监督检查。监督检查是企业对其内部控制的健全性、合理性和有效性进行监督检查与评估，形成书面报告并做出相应处理的过程，是实施内部控制的重要保证。

相应的，IT内部控制框架也应对于企业内部控制的五要素框架：

（一）IT内部控制环境。内部环境在企业IT领域的体现是IT的内部控制环境，同样IT内部控制环境是实施IT内部控制的基础。主要包括IT治理架构、IT组织与职责，IT决策机制，IT合规与IT审计等。

（二）IT风险评估。企业信息化带来的IT风险已经成为企业风险管理的主要方面。风险评估主要包括目标设定、风险识别、风险分析和风险应对。IT目标设定可以理解为IT战略与IT规划，IT风险识别与分析应对包括对信息资产的风险、IT流程的风险以及应用系统的风险识别分析与应对。

（三）IT控制措施。针对风险评估的结果，在IT方面需要实施具体的IT控制措施，包括IT技术类控制措施，如防火墙、防病毒、入侵检测、身份管理、权限管理等，以及IT管理类控制措施，包括各类IT管控制度与流程，如开发管理、项目管理、变更管理、安全管理、运营管理、职责分离，授权审批等。

（四）信息与沟通。在IT领域也需要明确具体的IT管理制度和沟通机制，建立服务台与事件管理程序，及时传达企业内部层级之间和与企业外部相关的信息。

（五）监督检查。需要建立IT内部控制体系的审核机制，评价IT控制的有效性。通过IT技术手段如日志、监控系统、综合分析平台等，和管理手段如内部IT审核、管理评审、专项检查等措施，不断改进企业的IT内部控制。

综合分析IT内部控制的组件，谷安天下将IT的控制分为三个层面：

（一）公司层控制。在公司层面建立IT治理架构，完善IT组织与职责，制定IT决策机制，实行IT人员绩效考核，加强IT合规与IT审计。

（二）流程与应用层控制。分析企业业务流程与活动，在企业业务流程、应用系统层面与通用IT流程层面建立控制，重点关注与财务报表相关的各种业务与应用系统的技术控制与流程控制。

（三）资源层控制。针对企业业务运作所依赖的各类信息资产和IT资源，分析具体每个资源点的风险，建立风险控制措施。

随着互联网的不断发展，IT开始进行更多人的视线，并且很多人转行学习IT。很多人说IT行业好、IT行业就业前景好，那么IT行业到底好在哪里呢？下面昌平电脑培训为大家介绍IT行业。

一、IT行业的收入

一个人的收入与该行业的利润水平、行业性质以及个人与一般传统行业和IT行业进行比较的能力有关。你认为传统行业的利润水平如何？15%，即企业的收入是100元，只有15元的利润，老板给你1元。如果是IT行业，它至少占其利润的60%和100美元，而老板至少给你4美元，所以北大青鸟发现IT员工的工资是传统行业员工的四倍。

二、IT行业的稳定性

什么样的工作是稳定的，不容易失业？病人需要手术。他们害怕手术医生吗？当然，因为他们控制着病人的生活。软件工程师在IT企业中的地位，就像外科医生一样，昌平北大青鸟认为如果软件工程师不高兴，企业信息系统就会出错，企业的财务数据、生产数据就会消失。

三、IT行业的未来发展

在信息社会，发展最快的是IT行业，如果从事的工作属于传统行业，当然发展缓慢，国家的平均GDP每年增加9％，非常高。IT行业每年超过40%，这几年已经突破了45%，发展非常快。

四、IT行业的社会地位

一个人的社会地位取决于其工资、职业、大众对行业的认知,如果目前的工资较低,这可能是因为这是一个不被人看好的夕阳产业。

就近几年IT行业的发展趋势来说，在学习IT的过程中不必担心就业好不好，北京电脑培训认为只要有志向想要在IT行业发展，努力学习就能成为IT行业里面的佼佼者。

以上就是关于sox对企业IT的要求全部的内容，包括:sox对企业IT的要求、电气系统中的IT系统的详细介绍、银行IT系统运维风险控制有哪些手段等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！