IT 知道的 App，可能只是冰山一角

清單多了一倍的那個下午

假設有一家四十五人的電商公司準備導入 ISO 27001，顧問說第一步是資產盤點。IT 很快交出正式採購的十幾套 SaaS：郵件、文件、會計系統、通訊軟體。接著顧問請每個部門自己填「平常會用的線上工具」，回收的清單多了一倍以上：行銷的排程工具、業務的名片 App、工程的 AI 編程助理，還有某人試用後就忘了的三四個服務。

先說清楚，這是示意情境，不是真實事件，公司與數字都是為了說明而設。但這個形狀在任何沒做過盤點的公司都會出現。IT 主管看著第二份清單的第一個反應是：「這些東西我從來沒看過。」其中有幾個 AI 工具是員工用公司帳號自行註冊的，也有工具接了公司的雲端硬碟。

這篇要講的只有一件事：清單上沒有的，就不會被保護。

看不見的工具，風險在哪裡

第一層是保護。沒在清單上的工具，不會有人去設權限、開兩步驟驗證或做資安評估；它用什麼密碼、誰是管理員、有沒有分享連結開成公開，全憑當初註冊的那個人。

第二層是資料流向。客戶名單、合約、原始碼被貼進或上傳到哪些工具，公司說不出來。出事的時候，連「我們用了哪些服務」這個問題都答不出來，更別說判斷影響範圍。

第三層是離職。入離職流程只涵蓋清單上的工具，清單外的帳號在人走之後繼續活著，有時候還繼續扣款。

最後是速度。新的 AI 工具出得很快，員工試用的速度往往比 IT 評估的速度快。這不是誰偷懶，是流程跟不上。

這篇示意情境裡，有哪些鑰匙沒人管

這是示意情境，沒有實際外洩；下表列的是這類盤點裡最常翻出來、而且沒人管的存取權，讓你知道清單上每一列背後是什麼。

兩列的共同點是：存在，但沒有一個人負責。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的數字只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。

第一步，三個來源拼第一版清單。 第一個是公司卡和付款帳單，近十二個月的訂閱型扣款都篩出來。第二個是身分平台的第三方授權清單：用公司帳號「以 Google／Microsoft 登入」的應用，通常都查得到。第三個是各部門問卷，只要問三題：用了什麼、做什麼用、有沒有放公司資料。三份資料交叉比對，出現在任何一份的都列進去；這張表我們就叫「影子清冊 A-19」，之後每季重跑都在同一張上加。

第二步，每個工具都要有負責人。 欄位放：工具名稱、負責人（要寫人，不要寫部門）、用途、資料敏感度、登入方式、付費方式、續約日。找不到負責人的，給一週認領期限。

第三步，分級處理。 放了客戶資料或財務資料的，優先確認權限設定和兩步驟驗證；沒人用的就停掉；功能重複的，列入下次整合。

第四步，開一條合法的路。 公告「已核准工具清單」和申請新工具的方式。員工有路可走，就比較不會偷偷用。

第五步，每季更新。 盤點不是一次性的專案。每季拿帳單和授權清單重跑一次，看新增了什麼。

什麼時候不需要買工具

幾十人規模、工具在幾十套以內，上面的三來源清單加上每季更新通常就夠了。工具能幫你自動發現，但「誰負責」「要不要留」的判斷，還是要人來做。

真的要看工具，市面上大致分四類。身分平台內建的功能最先用：Google Workspace 與 Microsoft Entra 都能列出第三方授權。網路流量分析如 Microsoft Defender for Cloud Apps，靠防火牆或 Proxy 日誌找影子 IT，前提是要有日誌、授權也要另外確認。開源資產管理如 Snipe-IT 可以自架免費使用、能記軟體授權，但要人工登錄，不會自動發現。商用 SaaS 管理平台如 1Password SaaS Manager（前身是 1Password 在 2025 年 1 月收購的 Trelica）、Torii 等，以自動發現和授權管理為主要功能。

限制也要一起看：自動發現只看得到有串接的來源；多數功能在有 SSO 或 IdP 的環境才完整；導入要設定、要有人維護，資料也要能匯出，避免被單一平台綁住。選的時候問四件事：規模多大（百人以下先用試算表）、有沒有 SSO 或 IdP、付款集不集中、有沒有人每週看儀表板。最後一項比功能多寡更重要。

這篇提到的項目要花多少錢

這篇的方法以人力為主，表裡的金額大多是估算或未公開，照實標出來。

最貴的不是工具，是沒有清單時那一次答不出來的事故調查。

你可以學到什麼

站在攻擊者那一側看，影子 IT 是一片沒人巡邏的地：試用帳號沒開兩步驟驗證，OAuth 授權拿著整個雲端硬碟的讀寫權，離職員工的帳號還能登入。他不用挑公司最堅固的那扇門，只要找到一扇 IT 不知道存在的門。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。