模組 5d — 影子 IT 發現與 AI 安全落地

目標： 看清你的員工實際在用的每一個 SaaS 與 AI 應用，判定哪些獲批，並自動執行這一決定——把看不見的"影子 IT"（以及影子 AI）轉變為受治理、受策略控制的使用。

🧭 什麼是影子 IT？ 員工未經 IT 批准就採用的應用——個人 Dropbox、未經許可的 AI 聊天機器人、隨手找的檔案轉換網站。看不見就無法保護。影子 IT 發現（Shadow IT Discovery）把 Gateway 的流量日誌轉化為一份在用應用的完整清單，讓你能把它們納入管控。這是替代 VPN 的關鍵一步：不再預設信任網路上的一切，而是對每個應用做出有意識的放行/阻止決定。

落地旅程（本模組的流程）

  1 發現     →  2 審查     →  3 執行     →  4 治理 AI
  看清實際      逐個應用      在 Gateway    把同樣的模式
  在用什麼      批准/不批     按狀態執行    用到 AI 應用 + DLP

你將對 SaaS 整體做 發現 → 審查 → 執行（A–C 部分），然後把同樣的能力用於 AI 安全落地（D 部分）。

A 部分 — 發現在用什麼

1. 👉 在控制台，前往 Insights → Analytics → Shadow IT Discovery（也可經 Application Library 進入）。
2. 📺 你會看到： 升級後的 SaaS 分析儀表板——你流量中檢測到的每個應用，含：
   • 誰在使用每個應用（使用者），
   • 向它傳輸了多少資料（流量），
   • 應用的型別/類別（如 Artificial Intelligence、Social Media、Cloud Storage）。
3. 👉 按應用型別篩選以聚焦審查——例如把型別設為 Artificial Intelligence，檢視所有在用的 AI 工具。

✅ 檢查點： 你能看到一份按使用者與資料量排序的應用清單。（幾乎沒有資料？確認裝置處於 Gateway with WARP 且 TLS 解密已開——模組 5——以便記錄 HTTP 流量。）

💡 讓它先跑一陣。 在做決定前，給發現功能一到兩週的真實流量，使清單反映真實的使用模式。

B 部分 — 審查並設定審批狀態

每個應用可帶四種審批狀態之一。這是你的治理決定，逐應用記錄：

1. 👉 在 Shadow IT Discovery（或 Application Library → Review applications）中開啟一個應用。
2. 👉 設定其審批狀態——例如把你認可的套件標為 Approved，把高風險的檔案共享站點標為 Unapproved，把仍在評估的設為 In Review。
3. 👉 按資料量/使用者數從高到低逐個處理——先處理使用量最大的。

✅ 檢查點： 你最常用的應用各自都有一個有意識的狀態（而非全為 "Unreviewed"）。

💡 提示： 儘早讓應用負責人參與。一個使用量很大的"影子"工具，往往意味著真實的未滿足需求——批准一個安全的等價方案，勝過粗暴地一封了之。

C 部分 — 用 Gateway 執行決定

當 Gateway HTTP 策略對審批狀態採取行動時，它才真正強大——於是新應用出現時決定會自動執行。

1. 👉 Gateway → Firewall Policies → HTTP → Add a policy。
2. 👉 使用 Application Approval Status 選擇器（API：any(app.statuses[*] == "unapproved")）。

示例策略：

3. 👉 阻止策略先以監控心態啟動——檢視 Gateway 日誌幾天以捕捉誤報——再開啟執行。

✅ 檢查點： 訪問你標為 Unapproved 的應用會顯示 Cloudflare 攔截頁；In Review 的應用在隔離的遠端瀏覽器中開啟；Approved 的應用正常工作。

⭐ 自我維護的治理： 由於策略針對的是狀態而非具名應用，把未來任何應用標為 "Unapproved" 都會立即阻止它——無需修改策略。

D 部分 — AI 安全落地

AI 工具是影子 IT 中增長最快的類別——也是風險最高的，因為員工會把敏感資料貼上進去。把發現→審查→執行的模式專門用於 AI，分五步。

D1 — 定義你的 AI 風險容忍度（先決定）

在配置任何東西之前，先對齊策略：

• 獲批 vs. 影子 AI： 你是在啟用已獲批的 AI 工具，還是主要擔心未獲批的？（記住：已獲批的 SaaS 供應商可能帶有嵌入式 AI 功能，同樣有風險。）
• 資料敏感度： 哪些資料型別絕不能進入 AI 提示詞？（與你的 DLP 工作相關——模組 6。）
• 鼓勵還是限制： 你想推動安全地使用 AI，還是加以限制？這決定了你策略的寬鬆程度。

D2 — 發現影子 AI

👉 在 Shadow IT Discovery 中，把應用型別篩選為 Artificial Intelligence（A 部分）——你現在能看到究竟哪些 AI 工具（ChatGPT、Gemini、Claude、Perplexity、Copilot…）在被使用、被誰使用、使用強度多大。

D3 — 審查並批准 AI 應用

👉 設定審批狀態（B 部分）：Approve 你認可的 AI 平臺，把其他標為 Unapproved 或 In Review。

D4 — 管控 AI 使用（治理，而非一刀切）

👉 在 Gateway HTTP 策略中，應用來自 模組 7 的 AI 合規使用方法：

• 允許已批准的 AI + 護欄——允許應用，但通過應用細粒度控制阻止高風險操作（檔案上傳）。
• 用 Application Approval Status 選擇器阻止或隔離未獲批的 AI（C 部分）。

D5 — 用 DLP 保護提示詞

👉 新增 AI 提示詞保護——DLP 檢查使用者在 AI 工具中輸入的內容並阻止敏感內容（PII、原始碼、金鑰）。見 模組 7 C 部分 與 模組 6（DLP）。

⭐ 最佳實踐——不要直接徹底封禁 AI。 一刀切的封禁會把人推向你毫無可見性的個人裝置。發現 → 認可一個好選項 → 加護欄 → 保護提示詞，既保持 AI 的生產力又安全。

✅ 檢查點： AI 使用按應用與使用者可見；已批准的 AI 帶護欄工作；未獲批的 AI 被阻止/隔離；敏感提示詞被 DLP 捕獲。

✅ 模組 5d 完成！

你現在擁有：

• ✅ 對在用 SaaS 與 AI 應用的完整可見性（使用者 + 資料量）
• ✅ 對頭部應用設定的有意識審批狀態
• ✅ 按狀態採取行動的自我維護 Gateway 策略
• ✅ 一條 AI 安全落地路徑：風險容忍度 → 發現 → 審查 → 管控 → 保護

它如何銜接

快速排障

👉 下一步：模組 6 — DLP

檢測並阻止敏感資料外流——包括流入你剛發現的那些 AI 應用。