2025年企业级AI与SaaS数据安全报告

核心观点与关键数据

• AI 和 SaaS 的广泛使用与安全盲点：尽管 AI 技术相对较新，但已有 45% 的企业用户积极使用 AI 平台，其中 43% 使用 ChatGPT，AI 占企业活动总量的 11%。然而，近半数文件上传到 AI 和文件共享工具中包含敏感数据（PII/PCI），且 40% 的文件上传和 82% 的数据粘贴行为来自未管理的个人账户，导致大量数据泄露。
• 身份认证问题：67% 的 AI 使用、64% 的 Zoom 登录和 77% 的 Salesforce 登录通过个人账户进行，即使使用企业账户，CRM（71% 非联邦）和 ERP（83% 非联邦）也普遍缺乏 SSO 身份验证，造成企业对员工 SaaS 和 AI 活动的可见性和控制力不足。
• 数据泄露渠道：GenAI 工具是数据泄露的首要渠道（32%），其次是即时消息应用（87% 的活动通过未管理账户进行，62% 的粘贴包含敏感数据），文件上传（38% 的文件上传到文件存储/共享平台和 GenAI 应用包含敏感数据）和复制粘贴（77% 的数据粘贴到 GenAI 工具来自未管理账户）。

研究结论

• AI 正成为企业数据泄露的主要途径：GenAI 工具的广泛使用和未受管理的访问方式，使其成为敏感数据泄露的主要渠道。
• 文件上传和复制粘贴是主要的数据泄露方式：近半数文件上传到 AI 和文件共享平台包含敏感数据，而复制粘贴行为（尤其是到 GenAI 工具）是数据泄露的主要方式，且大部分通过未管理的个人账户进行。
• 身份认证管理存在严重漏洞：个人账户和缺乏 SSO 身份验证的企业账户被广泛用于访问关键业务应用，导致企业对员工活动缺乏可见性和控制力。

建议

• 扩展审计范围：将审计范围从已知的 SaaS 和 AI 工具扩展到员工通过个人账户访问的阴影 SaaS 和 AI 平台。
• 转变 DLP 策略：将 DLP 策略从以文件为中心转变为以行为为中心，重点关注复制粘贴和提示控制等无文件数据流。
• 加强身份认证管理：限制个人账户的使用，并在所有企业账户登录中强制执行 SSO 身份验证。