IT 知道的 App，
可能只是冰山一角
為什麼現在很紅：員工試用 AI 工具的速度比 IT 評估的速度快，公司用了什麼服務，往往只有三分之一在 IT 的清單上。
- 一句話結論
- IT 的 SaaS 清單通常只涵蓋正式採購的工具；請各部門自填後，數量常常多出一倍以上，其中不少是員工用公司帳號自行註冊的 AI 工具。
- 他要的是什麼
- 他不需要打穿你的正式系統。一個沒人管的試用帳號、一個接了公司雲端硬碟的小工具，就是一條沒人看守的路。
- 你今天做一件事
- 今天就匯出公司卡近 12 個月的訂閱扣款和第三方應用授權清單，兩份一對，你就會知道 IT 清單漏了多少。 直接去做 →
- 哪些能信
- 2 可證明2 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是各家 SaaS 服務，不是自家主機）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 管理層：沒有一張「公司正在用哪些雲端服務」的清單。員工用公司帳號自行註冊的工具、用公司卡付費的訂閱、以 Google／Microsoft 帳號授權的第三方應用，都不在 IT 的視線內，也不在離職流程裡
- 馬上自我檢測
匯出近 12 個月公司卡帳單，篩出訂閱型扣款 Google Workspace 管理控制台 → 安全性 → API 控制項 → 第三方應用程式存取權，匯出清單 Microsoft Entra 管理中心 → 企業應用程式，匯出清單- 漏洞修補方式
- 用帳單、身分平台授權清單、部門問卷三個來源交叉拼出 SaaS 清單；每個工具指定負責人（寫人，不寫部門）、用途、資料敏感度；公告已核准工具清單與申請方式；每季重跑一次
有 15 分鐘再看：其餘 2 點
- 清單上沒有的工具，不會有人設權限、開兩步驟驗證，也不會在離職時被收回；資料被放到哪裡，公司也不知道。
- 不用先買工具：公司卡帳單、身分平台的第三方授權清單、三題部門問卷，交叉比對就能拼出第一版清單，之後每季重跑。
問 IT 公司用了哪些雲端服務，會拿到一份十幾項的清單；再問各部門，清單多一倍。清單上沒有的工具，不會被保護，也不會在有人離職時被收回。這篇用三個現成資料來源，拼出第一版 SaaS 清單。
本篇目錄
清單多了一倍的那個下午
假設有一家四十五人的電商公司準備導入 ISO 27001，顧問說第一步是資產盤點。IT 很快交出正式採購的十幾套 SaaS：郵件、文件、會計系統、通訊軟體。接著顧問請每個部門自己填「平常會用的線上工具」，回收的清單多了一倍以上：行銷的排程工具、業務的名片 App、工程的 AI 編程助理，還有某人試用後就忘了的三四個服務。
先說清楚，這是示意情境，不是真實事件，公司與數字都是為了說明而設。但這個形狀在任何沒做過盤點的公司都會出現。IT 主管看著第二份清單的第一個反應是：「這些東西我從來沒看過。」其中有幾個 AI 工具是員工用公司帳號自行註冊的，也有工具接了公司的雲端硬碟。
這篇要講的只有一件事：清單上沒有的，就不會被保護。
看不見的工具，風險在哪裡
第一層是保護。沒在清單上的工具，不會有人去設權限、開兩步驟驗證或做資安評估；它用什麼密碼、誰是管理員、有沒有分享連結開成公開，全憑當初註冊的那個人。
第二層是資料流向。客戶名單、合約、原始碼被貼進或上傳到哪些工具，公司說不出來。出事的時候，連「我們用了哪些服務」這個問題都答不出來，更別說判斷影響範圍。
第三層是離職。入離職流程只涵蓋清單上的工具，清單外的帳號在人走之後繼續活著，有時候還繼續扣款。
最後是速度。新的 AI 工具出得很快，員工試用的速度往往比 IT 評估的速度快。這不是誰偷懶，是流程跟不上。
這篇示意情境裡，有哪些鑰匙沒人管
這是示意情境，沒有實際外洩；下表列的是這類盤點裡最常翻出來、而且沒人管的存取權，讓你知道清單上每一列背後是什麼。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| 第三方 SaaS 的 OAuth 授權（以 Google／Microsoft 帳號登入） | OAuth 存取權杖（access／refresh token） | 讓外部工具讀寫公司雲端硬碟、信箱或行事曆 | 存在第三方服務端，公司這邊只看得到授權紀錄 | 身分平台的第三方應用程式授權清單 | 依當初按下「允許」時的範圍，常見是整個雲端硬碟 | 示意情境；未撤銷前持續有效 |
| 員工自行註冊的 SaaS 與 AI 工具帳號 | 帳號密碼（多半沒有兩步驟驗證） | 部門日常工作 | 存在員工個人的瀏覽器或記憶裡 | 不在任何公司清單上 | 該工具內的公司資料 | 示意情境；離職時通常不會被關閉 |
兩列的共同點是：存在，但沒有一個人負責。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的數字只能算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。
第一步，三個來源拼第一版清單。 第一個是公司卡和付款帳單，近十二個月的訂閱型扣款都篩出來。第二個是身分平台的第三方授權清單：用公司帳號「以 Google／Microsoft 登入」的應用，通常都查得到。第三個是各部門問卷，只要問三題：用了什麼、做什麼用、有沒有放公司資料。三份資料交叉比對，出現在任何一份的都列進去；這張表我們就叫「影子清冊 A-19」，之後每季重跑都在同一張上加。
第二步，每個工具都要有負責人。 欄位放：工具名稱、負責人（要寫人，不要寫部門）、用途、資料敏感度、登入方式、付費方式、續約日。找不到負責人的，給一週認領期限。
第三步，分級處理。 放了客戶資料或財務資料的，優先確認權限設定和兩步驟驗證；沒人用的就停掉；功能重複的，列入下次整合。
第四步，開一條合法的路。 公告「已核准工具清單」和申請新工具的方式。員工有路可走，就比較不會偷偷用。
第五步，每季更新。 盤點不是一次性的專案。每季拿帳單和授權清單重跑一次，看新增了什麼。
什麼時候不需要買工具
幾十人規模、工具在幾十套以內，上面的三來源清單加上每季更新通常就夠了。工具能幫你自動發現，但「誰負責」「要不要留」的判斷，還是要人來做。
真的要看工具，市面上大致分四類。身分平台內建的功能最先用：Google Workspace 與 Microsoft Entra 都能列出第三方授權。網路流量分析如 Microsoft Defender for Cloud Apps，靠防火牆或 Proxy 日誌找影子 IT，前提是要有日誌、授權也要另外確認。開源資產管理如 Snipe-IT 可以自架免費使用、能記軟體授權，但要人工登錄，不會自動發現。商用 SaaS 管理平台如 1Password SaaS Manager（前身是 1Password 在 2025 年 1 月收購的 Trelica）、Torii 等，以自動發現和授權管理為主要功能。
限制也要一起看：自動發現只看得到有串接的來源；多數功能在有 SSO 或 IdP 的環境才完整；導入要設定、要有人維護，資料也要能匯出，避免被單一平台綁住。選的時候問四件事：規模多大（百人以下先用試算表）、有沒有 SSO 或 IdP、付款集不集中、有沒有人每週看儀表板。最後一項比功能多寡更重要。
這篇提到的項目要花多少錢
這篇的方法以人力為主，表裡的金額大多是估算或未公開，照實標出來。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 第一版清單（帳單＋授權清單＋問卷） 估 | IT 一人 | 估 4–8 小時 | 一次性 | — | — | 本站依五步流程估算 |
| 每季更新 估 | IT 一人 | 估 2 小時／季 | 每季 | — | — | 本站估算 |
| Google Workspace／Microsoft Entra 第三方授權清單 | 既有訂閱內建 | 不另收費 | — | 0.00 | 0 | 官方文件，連結在 sources |
| Snipe-IT 自架版 | 開源 | 軟體免費，主機與維護另計 | — | 0.00 | 0 | Snipe-IT 官網 |
| 商用 SaaS 管理平台 | 依人數 | 未公開牌價，需洽詢 | 年約 | — | — | 各廠商官網未列公開價格 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
最貴的不是工具，是沒有清單時那一次答不出來的事故調查。
你可以學到什麼
站在攻擊者那一側看，影子 IT 是一片沒人巡邏的地：試用帳號沒開兩步驟驗證，OAuth 授權拿著整個雲端硬碟的讀寫權，離職員工的帳號還能登入。他不用挑公司最堅固的那扇門，只要找到一扇 IT 不知道存在的門。
- 01IT 的 SaaS 清單只涵蓋正式採購，部門自填後數量常常翻倍；不在清單上的工具不會被保護，也不會在離職時被收回。
- 02公司卡帳單、身分平台的第三方授權清單、部門問卷是三個現成來源，交叉比對就能拼出第一版清單。
- 03每個工具要有一個負責的人，寫人不寫部門；找不到負責人的工具，就是第一批要停掉或接手的。
- 04問卷結果是下限，不是全貌；第一版清單要承認自己不完整，靠每季重跑補齊。
- 05給員工一條申請新工具的合法路，比禁止更能減少影子 IT。
- 01影子 IT（Shadow IT）這篇的主角：沒經過 IT 的工具不是違規問題，是看不見就保護不了的問題。
- 02SaaS 盤點所有治理動作的起點；沒有清單，離職回收、權限審查、續約談判都無從開始。
- 03OAuth 第三方授權按一下「允許」就把公司資料的讀寫權交出去，而且這份授權在身分平台查得到。
- 04Google Workspace 第三方應用程式存取權Workspace 公司最快拿到「哪些外部工具碰過公司資料」的地方，不用另外買工具。
- 05Microsoft Entra 企業應用程式Microsoft 365 公司的同一份清單，也能看每個應用被授予哪些權限。
- 06影子 AIAI 工具推出與試用的速度最快，是清單最容易漏、資料最容易被貼出去的一類。
- 07應用負責人（App Owner）清單上每一列都要有一個人，否則盤點完還是沒人管。
- 08資料敏感度分級決定先處理哪個工具：放客戶與財務資料的優先確認權限和兩步驟驗證。
- 09已核准工具清單給員工合法的路，讓新工具進得來、也看得見。
- 10Cloud Discovery用流量日誌找影子 IT 的做法；先確認自己有沒有日誌，再決定要不要走這條路。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 匯出公司卡近 12 個月的扣款，篩出訂閱型、金額固定的項目（唯讀）看到什麼代表什麼：每一筆你叫不出負責人的訂閱，都是清單外的工具。
- Google Workspace 管理控制台 → 安全性 → API 控制項 → 第三方應用程式存取權，檢視清單（唯讀）看到什麼代表什麼：列出來的每個應用都碰過公司資料；數量比 IT 清單多，就是影子 IT 的現場。
- Microsoft 365 公司：Entra 管理中心 → 企業應用程式，檢視清單與權限（唯讀）看到什麼代表什麼：看到你沒聽過的應用、或權限包含讀寫郵件與檔案的，先記下來。
- 把兩份清單和 IT 現有清單對一次，數出差距（不用指令）看到什麼代表什麼：差距的數字，就是這篇說的「冰山水面下」那一塊。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
- Google Workspace：控管哪些第三方應用程式可存取 Workspace 資料
- Microsoft Entra：檢閱並管理企業應用程式的權限
- Microsoft Defender for Cloud Apps：設定 Cloud Discovery
- Snipe-IT（開源資產管理）
- Torii（SaaS 管理平台）
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M8 結業盤點 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。