波仔
🛡️ 第六章 组织机构的安全防范对策
📄 一句话概括

大型企业的 CIO 以为自己在管 45 个云应用，实际是 1,240 个、85.4% 未经授权——影子 IT 的问题不是员工不听话，而是业务跑得比 IT 的审批流程快。

📝 本节和前面几节的关系

6-12 讲的是【看不见的设备】，这一节讲的是【看不见的应用与服务】——两者是同一类问题的两个面：IT 部门的管理范围与实际使用范围之间的差集。 它和 4-12 是同一条线：那节讲的是【你为插件负责但插件不是你写的】，这一节讲的是【你为这些服务负责但选择它的人不是你】。 它也是 6-9 与 6-14 的服务对象：要管住出口，先得知道出口在哪。

一、先看规模：五组数字

影子 IT 最大的特点是【当事人不知道自己不知道】。先看这几组数字找找感觉：

来源 结论
Netskope 口径 企业平均运行 897 个云应用，其中 82.3% 未经 IT 授权
Torii 2026 报告 平均 830+ 个应用，仅 15.5% 获 IT 正式批准
Zylo 与 Gartner 53% 的 SaaS 应用属于未批准的影子 IT
大型企业 CIO 的错觉 估计只有 45 个应用，实际 1,240 个，85.4% 未授权
业务部门的话语权 业务部门掌控 81% 的 SaaS 支出，IT 只占 15%

第一组数字最扎眼：自己以为 45 个，实际 1,240 个，差了 27 倍。

最后一行解释了为什么会这样：业务部门掌控 81% 的 SaaS 支出，IT 只占 15%。这意味着绝大多数 SaaS 采购根本不经过 IT——市场部要做一个落地页、销售要用一个新 CRM、产品要用一个原型工具，他们直接刷公司卡就买了。IT 是在事后（有时是几年后）才通过账单或审计发现这些服务的存在。

所以影子 IT 的根源不是【员工违规】，而是【审批流程与业务节奏不匹配】。一次 SaaS 采购在业务眼里是【花几百块买个工具】，如果走 IT 流程要三周，那员工必然会先买了再说——这是结构性问题，不是态度问题。

二、按规模档位估算

未授权比例和组织的规模正相关——越大的组织越管不住：

规模档位 未授权比例 典型应用数 未授权个数（估）
小型（50~249 人） 68.5% 420 287 个
中型（1000~4999 人） 81.2% 897 728 个
大型（5000 人以上） 85.4% 1240 1058 个
全样本平均 82.3% 897 738 个

这个【规模越大越失控】的规律值得想一想。直觉上，大公司 IT 部门更大、流程更规范，应该管得更好——但实际相反。 原因在于【监控速度跟不上扩张速度】：大公司有更多业务线、更多新工具尝试、更多部门自治空间，而 IT 的可视能力还是靠人工登记台账——两边速度差得越远，差集就越大。

对中小组织的启示：你现在的小规模反而是优势——趁差集还小的时候把【发现机制】建起来，成本远低于以后补救。

三、动手 Demo：钱是怎么漏掉的

影子 IT 最容易被量化、也最容易打动管理层的一笔账，是许可证浪费：

指标 数值
全球企业 SaaS 支出 2,980 亿美元
人均 SaaS 支出 9,600 美元 / 年
大型企业平均在管的 SaaS 应用 269 个
许可证完全闲置的比例 51%
由此产生的年均浪费（每家企业） 1,800 万美元
授权用户中 90 天以上未登录 44%
基于报销的 SaaS 支出同比 激增 267%，ChatGPT 是单项最大

算一笔账：一家 3,000 人的公司，按人均 9,600 美元、51% 闲置计算：

head, per, idle = 3000, 9600, 0.51
waste = head * per * idle        # 14,688,000 美元 / 年

实跑输出：

  → 算一下：一家 3,000 人的公司，光闲置许可证一年就扔掉
     人数            3,000 人
     人均年支出      9,600 美元
     闲置比例        51%
     年浪费          1,468.8 万美元

读这个输出：

四、真正的风险不是钱，是看不见的出口

浪费是可以承受的，数据外流不行：

风险指标 数值
未授权 SaaS 与数据泄露相关 22% 的企业泄露与此相关
发现部门级未授权应用的平均滞后 142 天
上传到未授权 SaaS 的文件含敏感数据的比例 21.8%
离职后仍有影子应用活跃访问的员工比例 28.5%
对云文件上传做了 API 级实时治理的企业 仅 28.5%

这张表里【142 天】最值得琢磨。它意味着：一个部门级应用从投入使用，到被 IT 发现，平均要四个多月——而在这四个多月里，它是完全不被任何安全策略覆盖的：没有单点登录、没有日志接入、没有数据分类、没有离职回收流程。 第四行【28.5%】正是这个后果的直接体现：员工离职了，但他在某个没人知道的应用上的账号还活着——因为那个应用从来不在 IT 的账号回收清单里。

【21.8% 的上传文件含敏感数据】则说明：员工把文件传到这些应用上时，并没有意识到自己在做什么——在他们看来这只是【把文件存到工具里】，而不是【把公司数据交给一个未经评估的第三方】。

五、影子 AI：增长最快的一类

影子 AI 值得单独拿出来讲，因为它的增长速度远超其他类别：

指标 数值
知识工作者常用未批准生成式 AI 的比例 71.4%（Gartner）
通过影子 AI 被攻破的已泄露组织占比 20%（IBM）
这些企业平均多付的泄露成本 67 万美元
影子 AI 泄露中涉及客户个人信息的比例 65%
影子 AI 泄露中涉及知识产权的比例 40%
没有 AI 治理政策或在制定中的已泄露组织 63%
因 AI 发生泄露且缺乏适当访问控制的比例 97%
有 AI 政策但真正做审计的组织 只有 34%

用成本说话：20% 的概率乘以 67 万美元，预期损失约 13.4 万美元——而一套基础的应用发现与治理，往往比这个数字便宜。 这个算术不精确，但它的量级是对的，足够支撑【先做发现】这个结论。

这张表里最值得注意的其实是最后两行：97% 的 AI 相关泄露事件中，组织缺乏适当的访问控制；只有 34% 有 AI 政策的组织真正做过审计。这两条合起来说明一件事：政策和实际执行之间有一个很大的缺口——写一份 AI 使用政策很容易，把它变成可检查、可审计的流程很难。

为什么难？因为 AI 类应用有几个和其他 SaaS 不同的特点：① 使用门槛极低（复制粘贴就能用）；② 用途极广（写文档、改代码、做表、翻译，几乎覆盖所有岗位）；③ 数据流向不透明（输入的内容去哪了、会不会用于训练，普通员工无从判断）。所以【禁止使用】是不现实的（员工确实在用，而且用它能提高效率），可行的方向是【分级管控】：允许用（某些企业版租户）、限制某些数据不能输入、对高风险输入做检查——这正是 6-9 里【AI 治理三层】要解决的问题。

六、⚠️ 2026 现状

30 秒实验

今天做两个动作，各 15 秒：

  1. 回想一下你自己或同事用过的、不在公司统一清单里的工具（网盘、在线文档、截图工具、AI 助手、翻译工具）。找出三个，然后问一个问题：这些工具上有没有公司的文件？ 如果有，那你已经看到了影子 IT 的实际形态——它不需要【有人违规】，只需要【有人在赶活】。
  2. 检查一下你用的云盘的分享设置：有没有用过【任何知道链接的人可访问】这种分享方式？ 这一条是最常见的云配置错误之一，也是上面那 14% 里很典型的成因。打开最近分享过的几个链接看一眼，可能两分钟就能发现并修掉一个暴露面。

这一节要带走的一句是：影子 IT 的治理顺序不能反——先知道有什么，再决定留什么，最后才谈用什么工具去管；一上来就买工具，等于在不知道自己有几扇门的情况下装锁。

常见误区

  1. 错误：影子 IT 是员工不守规矩造成的，加强制度约束就能解决。——纠正：这是结构性问题，靠约束解不掉。数据摆在那里：业务部门掌控 81% 的 SaaS 支出，IT 只占 15%——意味着绝大多数采购根本不在 IT 的视野里。员工选择【先用后报】通常不是想违规，而是【业务要今天完成、审批要三周】这个现实落差。增强约束的直接后果一般是两种：① 员工改用【更不可见】的方式（用自己的卡买、报销成其他科目）；② 员工放弃工具、效率下降，然后业务部门来投诉 IT。更有效的思路是双管齐下：一边把发现机制建起来（自动发现 + 报销比对），一边提供快速审批通道——让【走流程】比【绕过】更快，行为才会变。

  2. 错误：既然影子 IT 有风险，那就全面禁止员工使用未批准的应用。——纠正：全面禁止在 2026 年既不可执行，也不利于业务。两个现实：① 使用门槛太低——一个浏览器就能访问，你无法通过技术手段完全阻断（而且阻断过严会把流量推到个人热点和个人设备上，彻底脱离可见范围）；② 工具确有价值——71.4% 的知识工作者在用未批准的生成式 AI，说明它们确实在解决实际问题，一刀切禁止等于让员工回到更低效的工作方式。更可行的策略是【分级】：低风险类别（公开信息的处理、翻译、文案辅助）默认允许并纳入清单；中风险（涉及内部文档）要求使用企业版租户；高风险（涉及客户个人信息、源代码、财务数据）明确禁止并做技术拦截（拦截手段见 6-14）。关键是把这三档写清楚并让员工知道【哪些能做、哪些不能】——模糊的禁令只会被模糊地执行。

  3. 错误：我们买一套 CASB，影子 IT 就解决了。——纠正：工具解决的是【管】的问题，不解决【知道有什么】和【决定怎么办】的问题。一个很常见的失败路径是：买了 CASB → 发现应用数量远超预期（比如 800 多个）→ 不知道该拦哪些 → 策略设得很宽以免影响业务 → 实际效果接近为零。问题出在第二步和第三步：发现之后必须有人做【分级决策】（哪些能留、哪些要迁到企业版、哪些必须停），而这个决策需要业务、法务、安全一起做——它不是工具能提供的。所以正确的顺序是：先发现（可以用最便宜的方式，包括报销单比对）→ 再分级（跨部门定决策规则）→ 最后用工具执行分级规则。跳过中间那一步，工具就只是一台会报警的机器。

  4. 错误：员工离职时会话自然失效，影子应用的访问权限不用管。——纠正：恰恰相反，影子应用最容易出现【离职还有权限】的情况。原因很直接：离职流程里回收的是【IT 知道的那批账号】（域账号、邮箱、VPN、办公系统），而那个部门自己买的工具从来不在清单里——所以没人去停用，也没人知道要停用。数据也印证了这一点：离职后仍保有至少一个影子应用活跃访问的员工比例是 28.5%。 可行的补法是两步：① 把【发现机制】接入离职流程——离职时比对该员工所在部门的影子应用清单，逐一确认；② 推广单点登录（SSO）——凡是通过公司身份登录的应用，离职时随主账号一起失效。第二步实际上是一劳永逸的做法：对 SaaS 治理而言，把应用接入 SSO 比把它写进台账更有价值（因为台账会过期，SSO 的会话失效是自动的）。

自测三问（点开对答案） 1. 为什么【规模越大，影子 IT 比例越高】？这对中小组织有什么启示？ —— 因为**影子 IT 的规模取决于【业务扩张速度】与【IT 可视能力速度】之间的差**。**大组织有更多业务线、更多新工具尝试、更多部门自治空间，采买决策分散在更多人的手里**；**而 IT 的发现能力通常还是靠人工台账与事后审计**——**两边速度差得越远，差集越大。** **另一个放大因素是【支出权限】**：**很多组织会给部门一定的自主采购额度（比如单笔 5,000 元以下无需审批）**，**而绝大多数 SaaS 订阅正好落在这个额度之内**——**于是它们天然地绕过了采购流程。** **对中小组织的启示很直接**：**趁应用数量还少（几百个而不是上千个）的时候把发现机制建起来，边际成本低得多**；**而且小组织有一个大组织没有的优势**——**决策链短，跨部门协调成本低，值得的东西可以很快推行下去。** 具体可以从两步开始：**盘一遍报销单里出现的订阅服务，再对云盘和 AI 工具做一次发现**——**这两步基本能覆盖最常见的类别。** 2. 为什么影子 AI 比其他影子 IT 更难管？ —— 有三个特点叠加使它特别难。**① 使用门槛极低**：**不需要采购、不需要安装、不需要账号审批，一个浏览器就能用**（**这也是它的普及率能达到 71.4% 的原因**）；**② 用途覆盖所有岗位**：**写文档、改代码、做表格、翻译、总结**——**它不像 CRM 或设计工具那样只服务于某一个部门，所以无法用【部门级政策】来处理**；**③ 数据流向极度不透明**：**员工把一段内容粘进去时，无法判断这些内容会被如何处理、是否进入训练数据、保留多久**。**这三条合起来意味着**：**【禁止】不可执行（因为无处不在地被使用），【放任】又不可接受（因为涉及的可能是客户个人信息或源代码）**。**唯一可行的方向是分级 + 可见**：**明确哪些内容可以输入、哪些绝对不可以**（**这是政策层面**）；**同时用技术手段让高风险输入被拦住**（**这是 6-9 里 AI 治理三层中的【提示内容 DLP】**）。**一个务实的起点是**：**先做发现（知道哪些 AI 工具在被使用），再区分企业版与个人版租户（这是最重要的一步，因为企业版通常有数据保护承诺），最后才是内容检查。** 3. 在治理影子 IT 时，【快速审批通道】为什么这么重要？ —— 因为它**直接消除了员工绕过流程的动机**。**影子 IT 的成因不是【员工喜欢违规】，而是【业务节奏与审批速度不匹配】**：**一个市场同事要在今天下午上线一个活动页，走 IT 采购流程要三周**——**在这个情境下，【先用了再说】是理性选择，而不是违纪行为。** **所以治理要同时做两件事**：**① 提高发现的准确性（把 142 天的滞后期压短）；② 降低合规使用的时间成本**。**后者的具体形态是**：**一份事先批准的【可用服务清单】**（**员工在清单内的工具可以自助开通，无需逐次审批**）、**一个【紧急使用】通道**（**允许先用，但要求在 30 天内补评估，并把这件事记进台账**）。**这套设计的效果比【加强审批】好得多**——**因为它把员工从【对抗流程】变成【使用流程】，而只有进入了流程，你的发现机制、数据分类、离职回收才有机会生效。** **换句话说：治理影子 IT 的成功标志，不是【应用数量降到零】，而是【绝大多数应用都在你的清单上】。**

相关笔记