博客

Shadow IT: Hidden Security Risks in Enterprise Communications
影子IT：企业通信中隐藏的安全风险
什么是影子IT？ 影子IT指的是未经公司知晓或批准，员工私自部署软件和硬件用于工作的现象。最典型的案例是使用WhatsApp等消费者消息服务与同事和客户进行业务沟通。这种做法不仅限于个人员工，通常还会蔓延到团队甚至整个部门。 影子IT的常见形式 软件 • 用于商务沟通的即时通讯工具：WhatsApp、Telegram等 • 云存储服务：Google Drive、OneDrive • 视频会议平台：Zoom、MS Teams • 文件共享服务：Dropbox、iCloud Drive • 个人电子邮件账户 硬件 • 个人智能手机 • 个人笔记本电脑 数据证明一切 影子IT的普遍程度远超大多数企业领导者的认知。Gartner 2023年的一项调查发现，全球88%的企业都遭遇过影子IT的使用。其他研究表明，企业中近三分之二未经批准的SaaS应用程序是由员工绕过官方IT审批流程引入的。简而言之，影子IT不再是“是否会发生”的问题，而是“已经存在多大程度”的问题。 员工为何倾向于影子IT 原因很简单。面向消费者的云服务、SaaS解决方案和即时通讯应用程序广泛可得且易于使用，员工在日常生活中已对这些工具非常熟悉。当公司内部流程繁琐或IT支持响应缓慢时，员工自然会选择熟悉的第三方工具作为替代方案。 远程工作的兴起加剧了这一趋势。当员工在个人设备上运行应用程序时，他们的安全意识往往低于受控的企业环境。这部分解释了疫情后未经授权工具采用率持续增长的原因。 消费者消息应用在专业环境中的风险 在工作中使用WhatsApp和Telegram等消费者聊天平台所带来的风险远不止非正式性那么简单。... 阅读详细内容…
42% of Companies Use WhatsApp for Business — Yet Its Risks Are Rarely Discussed
42% 的公司将 WhatsApp 用于商业用途——但其风险却鲜有讨论
询问同事为何在工作沟通中依赖 WhatsApp，你得到的答案几乎总是相同的：它方便、熟悉，且无需额外切换软件。确实如此。WhatsApp 在全球拥有超过 20 亿用户，实现了近乎无障碍的沟通。当客户无法访问公司内部即时通讯平台、外部合作伙伴需要紧急联系，或标准工作流程停滞时，它自然而然地成为最简单的解决方案。 根据《2026 安全协作状况》调查，目前有 42% 的组织将包括 WhatsApp 和 Signal 在内的消费者消息应用用于工作。同时，81% 的受访者表示，超过四分之一的敏感协作涉及外部各方。 综合这两个发现，风险就变得显而易见。 员工无过——工具被误用 大多数员工通过 WhatsApp 共享合同草稿、客户更新或财务摘要，并非有意违反安全政策。他们只是在解决眼前的障碍：客户无法访问公司内部沟通系统，合作伙伴无法登录内部文件共享平台，任务刻不容缓；信息必须立即发送。 核心问题不在于员工的意图。这些消费者平台从未为商业场景而设计。WhatsApp 专为个人沟通而设计。它缺乏企业账户框架、集中式 IT 治理、审计追踪，以及可配置或可撤销的组织访问权限。当员工在该平台上开展业务时，他们完全在公司安全团队设定的治理范围之外运作。 这就是消费者消息应用的实际危险：它不仅限于高调的灾难性数据泄露。相反，公司信息在缺乏可见性和监督的环境中悄无声息地积累。 当风险成为现实 员工离职时 当通过 WhatsApp 管理客户关系的员工离职时，完整的聊天记录也会随之而去。组织无法撤销访问权限、检索消息记录或进行审计。数据从未真正属于公司；它仍掌握在私人手中。 项目完成后 通过 WhatsApp 共享的文件链接不会自动过期。六个月前发送给外部合作伙伴的文档可能仍然可访问。大多数组织对此类暴露毫不知情，也缺乏禁用访问的机制。 当事件需要调查时 如果出现合规性查询或安全事件，WhatsApp 上的对话实际上是一个黑匣子。没有日志或访问记录，导致 IT 团队无法恢复数据。研究进一步表明，34% 的组织难以跟踪谁可以访问敏感文件——这还仅限于经批准的公司工具内部的活动。 一旦外部利益相关者加入讨论 一旦数据进入合作伙伴的个人 WhatsApp 账户，您的组织将完全失去控制。无法了解数据如何存储、谁可以查看，或接下来会转发到哪里。 为何单独禁止 WhatsApp 会失败 调查数据得出了一个明确的结论：员工绕过官方工具并非出于对安全的不重视，而是因为在速度至关重要时，经批准的平台会造成不必要的延迟。 最常被提及的原因包括紧急需求、外部利益相关者无法访问公司平台，以及官方工具过于繁琐。安全意识不足的普遍程度要低得多。  这揭示了一个关键真相：简单地禁止 WhatsApp 而不解决根本原因，并不能消除危险行为。它只会让活动转入地下，更难被发现。员工会继续寻找变通方法。 关键问题是：受控替代方案应该具备哪些能力？它必须支持紧急情况下的快速响应，提供真正的隐私保护，并保持直观的可用性——这样安全的路径也是最简单的选择。 这样的解决方案已经存在。以 ComCube 加密通信平台为例： • 本地部署：用户保留完整的服务器控制权；供应商无法访问任何内容 • 简单上手：2 分钟内即插即用，所有用户均可轻松使用 • 加密语音和视频通话：即使在网络条件不佳的情况下，也能同步、稳定的音视频 • 自毁消息：内容查看后自动消失，不留痕迹... 阅读详细内容…
WhatsApp Opens Up Interoperability — We've Decided Not to Join
WhatsApp 开放了互操作性 — 我们决定不加入
自 2025 年秋季起，根据欧盟《数字市场法案》(DMA) 的要求，WhatsApp 已开放与第三方消息服务的互操作性。DMA 的目标是通过促进公平竞争并让消费者有更大的自由选择他们使用的通信服务，来遏制“守门人”科技巨头（苹果、谷歌、Meta 等）的市场影响力。我们支持这一目标。 但同意目标并不意味着同意实现目标的每种方式。经过仔细评估，我们决定暂时不实现与 WhatsApp 的互操作性。原因如下：   1.技术现实：不是我们不想做，而是真正做好它非常困难 WhatsApp 目前只支持一对一聊天的互操作性。群聊、语音通话和视频通话如何实现尚不清楚。更重要的是，协议是由 WhatsApp 单方面定义的——这意味着任何连接到它的第三方提供商实际上都是将 Meta 聊天应用的轻量级版本嵌入到自己的产品架构中。这所需的开发资源与所带来的好处不成比例。而且，消息应用功能集的差异意味着，无论如何实现，真正无缝的互操作性都有固有的上限。   2.隐私是一项硬性约束，而非可协商的 互操作性要求双方在兼容性的“最低公分母”上达成一致——而这个公分母往往是隐私保护较弱的一方。例如，Comcube 在常规聊天中内置了截图和屏幕录制保护，而 WhatsApp 仅对“阅后即焚”消息应用类似限制，日常聊天完全不受保护。弥合这种根本性的设计差异必然意味着妥协某些隐私标准。 还有一个更实际的问题：一旦数据流入 WhatsApp，我们无法核实其后续处理方式，因为 WhatsApp 不是开源的。这种不确定性是我们不愿接受的。   3.互操作性也可能不利于生态系统多样性... 阅读详细内容…