企业在引入 AI 书写辅助工具时，IT 与安全管理团队常面临一个核心冲突：员工能借此显著提升日常沟通效率与英文专业度，但未加管控的浏览器扩展与桌面端输入可能将专有代码、财务未披露数据、患者医疗信息及客户个人身份信息（PII）泄露至云端。
Grammarly Business（尤其是 Enterprise 企业级订阅）针对这一合规痛点提供了集中式治理能力。企业管理员无需依赖员工的自主自觉，即可在管理后台集中完成数据防泄漏（DLP）脱敏、敏感桌面软件与内网域名黑名单封锁、第三方机密模式联动，并按部门分配生成式 AI 与 Agent 工具权限。
本文为企业 IT 与安全管理员提供一份完整的实操指南，详细解析如何在 Grammarly Admin Console 中配置防泄漏规则、域名与程序拦截清单，以及基于用户组的生成式 AI 限制策略。
一、企业安全治理的四层防御架构
Grammarly 企业版的安全防线由四个相互协同的管控层级构成：
| 防御层级 | 核心技术机制 | 管理后台入口 | 核心防护价值 |
|---|---|---|---|
| 传输前数据脱敏（DLP） | 敏感模式自动识别与占位符清洗 | Organization → Enterprise Security → Data | 文本在离开本地前剔除个人与财务敏感标识 |
| 文档机密模式联动 | 第三方敏感标签与机密邮件识别 | Organization → Enterprise Security → Data | 打开密级 Word 文档或 Gmail 机密邮件时自动休眠 |
| 边界运行隔离 | 域名与桌面应用程序黑名单 | Organization → Enterprise Security → Domains and apps | 禁止在内网系统、代码编辑器与终端窗口中运行 |
| AI 权限分权管控 | 基于用户组（Group）的角色功能开关 | Organization → Feature access 与 Agent access | 按部门开启或禁用 AI Assistant、Agent 及段落重写 |
二、配置数据防泄漏（DLP）与内容脱敏规则
Grammarly 的原生 DLP 功能在客户端层面执行数据净化，支持 Chrome、Firefox、Edge 浏览器扩展、Windows 与 macOS 桌面客户端，以及 Web 在线编辑器。不同于事后告警或阻断传统终端 DLP，Grammarly 在文本发送至云端前即完成模式替换，使敏感内容根本无法流出本地边界。
步骤 2.1：进入 DLP 配置页面
- 使用企业管理员账号登录 Grammarly Admin Console。
- 在左侧或顶部主导航栏中选择 Organization。
- 在 Enterprise Security 模块下点击 Data。
- 找到 Data Loss Prevention (DLP) 区域，查看当前组织中脱敏引擎的启用状态。
步骤 2.2：支持识别的敏感数据类型
当 DLP 规则启用后，系统会自动拦截并替换以下高风险数据模式：
- 基础个人联系信息： 电子邮件地址（Email addresses）、电话号码（Phone numbers）、网络链接（URLs）。
- 法定身份证明号码： 美国社会安全码（US SSN）、英国国民保险号码（UK NINO）、加拿大社会保险号（Canada SIN）。
- 银行与支付凭证： 信用卡卡号（Credit card numbers）、国际银行账户号码（IBAN）。
当员工在写作界面输入包含上述规则的内容时，系统会在本地将真实文本替换为匿名占位符后再发起语法或写作分析，从源头切断敏感数据上传通道。
步骤 2.3：使用“Test out DLP”进行策略验证
在将 DLP 策略推广至全公司前，管理员可在后台进行安全沙箱验证：
- 在 Data 设置页面中，点击 Test out DLP 按钮。
- 在测试输入框中输入包含测试信用卡号、虚拟 SSN 或特定邮箱的样本文本。
- 观察右侧识别结果，确认系统是否正确检测出敏感模式并完成了占位符屏蔽。
- 自定义脱敏调整： 如需定制特定格式的内部工号、专有正则表达式或企业专用敏感字段，需联系企业专属的 Grammarly 客户成功经理（CSM）在后端配置文件中进行定制。
三、启用第三方机密模式（Third-Party Confidential Mode）
金融、法务及医疗等团队经常需要编辑带有严格保密等级的合同文件或受保护的健康信息（PHI）。Grammarly 提供了与邮件及 Office 生态集成的机密模式，实现自动化环境感知规避。
步骤 3.1：开启机密模式总开关
- 访问管理后台：Organization → Enterprise Security → Data。
- 找到 Third-Party Confidential Mode 开关，将其切换为 On。
步骤 3.2：关联 Microsoft Word 敏感度标签（Purview / MIP）
在 Windows 桌面端使用 Grammarly 时，程序能够读取 Microsoft Word 文件的敏感度元数据：
- 在 Third-Party Confidential Mode 配置区域下方找到敏感度标签列表（Labels 表格）。
- 点击 Add。
- 输入标签名称（如 Highly Confidential、Internal Only）以及在 Microsoft Purview（或 Microsoft 365 合规中心）中为该标签生成的全局唯一标识符 Label ID (GUID)。
- 保存配置。
只要员工在本地打开带有此 GUID 密级标签的 Word 文档，Grammarly 桌面端插件将完全停用对该文档的任何文字读取与修改建议。
步骤 3.3：Gmail 机密模式兼容
对于使用 Google Workspace 的企业，当员工在 Chrome、Firefox 或 Edge 中撰写邮件并启用了 Gmail 内置的“机密模式”（Confidential Mode）时，Grammarly 扩展将自动暂停工作，不再扫描邮件正文。
四、配置域名与桌面软件黑名单（Blocklist）
员工日常工作中常接触敏感代码平台、云基础设施管理面板、内部 HR 系统或数据库工具。为避免 Grammarly 捕获此类关键资产，管理员应建立系统级隔离策略。
步骤 4.1：添加敏感域名黑名单（Web 端）
- 导航至 Organization → Enterprise Security → Domains and apps。
- 点击 Add to block list，在弹出菜单中选择 Domain。
- 输入目标域名，无需添加协议头与前缀（例如输入
gitlab.internal.company.com或workday.com，不要加https://或www）。 - 勾选 Include subdomains，使规则自动覆盖该主域名下的所有二级及多级子域名（如
*.company.com）。 - 指定生效范围：
- Entire organization： 对全公司所有席位生效。
- Specific groups： 仅针对研发部、财务部等特定用户组生效。
- 点击 Add 确认生效。
步骤 4.2：屏蔽敏感桌面应用程序（客户端）
Grammarly 桌面端（Windows/Mac）通过系统无障碍接口捕获输入框。对于终端命令行工具、数据库客户端、财务软件或代码 IDE，管理员需配置进程黑名单：
- 在 Domains and apps 页面中，点击 Add to block list 并选择 Application。
- 输入软件的可执行程序名称：
- Windows 系统： 输入完整进程文件名（如
cmd.exe、powershell.exe、dbeaver.exe、devenv.exe）。 - macOS 系统： 输入应用程序二进制名称（如
Terminal、Xcode、iTerm2）。 - 多操作系统办公环境： 建议针对 Windows 和 Mac 分别添加对应的可执行文件名条目。
- Windows 系统： 输入完整进程文件名（如
- 选择规则适用的组织范围或特定用户组，点击 Add 保存。
核心架构警示：黑名单机制与白名单差异
目前 Grammarly 管理后台采用的是黑名单模式（Blocklist），尚未提供全盘禁止、仅在极少数指定应用中允许运行的“白名单模式”。因此，IT 安全团队需主动梳理企业内部敏感资产，并结合终端管理工具（如 Microsoft Intune、Jamf 等 MDM 方案）或组策略（GPO），在端侧对浏览器扩展的安装范围与可执行文件的运行权限进行纵深防御。
管理员还可在 Organization → Enterprise Security → Client apps 中，将各类官方客户端设定为 Managed（受管）或 Blocked（禁用），防止员工自行安装未经批准的产品形态。
五、按部门分级管控生成式 AI 功能
生成式 AI（GenAI）在文案创作与客服应答中能创造显著价值，但在法务合同审阅、财务报表编制与核心算法研发中却潜藏违规风险。Grammarly 支持按组织单元与用户组细分 AI 权限。
步骤 5.1：进入功能访问控制页
- 登录管理后台，点击 Organization。
- 在选项卡中进入 Feature access（功能访问权限）页面。
步骤 5.2：配置 AI Assistant 启用范围
- 全员停用生成式 AI： 将 AI assistant 开关设为 Off。此时所有员工依然能使用基础的语法纠错、拼写检查与句式润色功能，但无法调用基于提示词的文本生成与头脑风暴功能。
- 按部门分组开放： 将开关设为 On，并限定仅对市场部、公关部或销售支持等特定用户组生效。法务、合规与技术研发组不勾选，从根本上隔离模型输入风险。
步骤 5.3：管控 Docs with agents 与进阶改写功能
除了对话式助理外，管理后台还能精细化控制以下衍生能力：
- Docs with agents： 在 Feature access 中开启或关闭 Grammarly 的多智能体创作画布。若开启，管理员可在 Organization → Agent access 中逐一审核并停用具体的 Agent 角色。
- 段落重写与语言翻译： 管理员可独立控制是否允许员工使用整段重写（Paragraph-level rewrites）与多语种机器翻译功能。对涉及保密文本翻译的团队，可选择关闭此类功能。
六、底层隐私承诺、数据加密与零留存架构
除前端配置外，企业安全团队在出具合规评估报告时，需重点关注底层云服务与大模型架构的隐私机制。
6.1 企业数据绝不用于模型训练
Grammarly 在商业条款与技术实现上做出严格保证：所有企业客户的输入文本均不会用于训练 Grammarly 的底层语言模型或任何第三方的生成式基础模型。 在 Enterprise 企业版席位中，数据反馈与改进开关在租户级默认关闭。
6.2 Azure OpenAI 零数据留存（Zero-Day Retention）
Grammarly 的生成式 AI 服务基于企业级 Microsoft Azure OpenAI Service 搭建，并遵循严苛的安全框架：
- 零留存协议： 发送至 Azure OpenAI 的提示词与生成结果不被日志记录、不建立缓存，也不驻留在微软服务器中。
- 租户网络隔离： 企业流量在独立的云端虚拟租户环境中处理。
- 预脱敏管道： 在数据提交至大语言模型前，先经过内置 PII 过滤与去标识化清洗。
6.3 客户自主密钥加密（BYOK）
对于在数据存储自主权上有严苛要求的企业，Enterprise 方案支持基于 AWS KMS 的 BYOK（Bring Your Own Key）：
- 企业可在自己的 AWS 账号中创建托管密钥，将 Amazon Resource Name (ARN) 提供给 Grammarly。
- 存储在 Grammarly 服务端的所有静态数据（如在线文档）均由客户自持密钥使用 AES-256 进行加解密。
- 一旦企业在 AWS KMS 中撤销密钥访问权限，Grammarly 侧的数据将立即实现“密码学销毁”（Crypto-shredding）。
- 所有密钥调用记录完整留存在企业的 AWS CloudTrail 中，满足审计追溯需求。
6.4 身份认证与行业合规资质
- 单点登录与生命周期同步： 支持 SAML 2.0（Okta、Microsoft Entra ID、PingIdentity、Google Workspace）并配合 SCIM 实现离职即时注销席位。
- 会话超时策略： 管理员可在后台强制设置空闲会话超时时间，防范公用设备凭据留存。
- 合规认证： 拥有 SOC 2 (Type II) 认证，通过 ISO/IEC 27001、27017、27018、27701 认证，并支持签署正式的 BAA 协议以满足 HIPAA 医疗合规要求。
七、IT 管理员分阶段落地检查清单
为确保落地过程规范、可审计，建议管理员遵循以下实施流程：
[ ] 第一阶段：身份基线与账号同步
- 配置 SAML 2.0 SSO 与 SCIM 自动化供给。
- 将企业目录服务中的部门安全组（法务、财务、研发、市场等）映射至 Grammarly。
[ ] 第二阶段：网络与端侧边界阻断
- 在 Domains and apps 中录入内部代码库、HR 面板与内网域名（开启子域名通配）。
- 录入终端工具（cmd.exe、powershell.exe、IDE）桌面进程黑名单。
[ ] 第三阶段：内容脱敏与敏感标签联动
- 进入 Enterprise Security → Data，验证 DLP 功能已处于启用状态。
- 在“Test out DLP”中输入测试个人信息与信用卡，验证屏蔽效果。
- 开启 Third-Party Confidential Mode，录入 Microsoft Purview 敏感度标签 GUID。
[ ] 第四阶段：部门级生成式 AI 策略切分
- 进入 Feature access，按最小必要原则将 AI assistant 仅授权给获批部门。
- 对敏感业务团队关闭 Docs with agents 与段落重写翻译功能。
[ ] 第五阶段：底层安全加固与审计
- 针对核心合规要求开通 AWS KMS BYOK 自主密钥管理。
- 涉及医疗保健数据的企业联系法务与 Grammarly 签署 BAA。
通过综合部署传输前 DLP 脱敏、Purview 标签自动停用、内网与敏感软件隔离，以及按用户组精细化划分的生成式 AI 权限，IT 管理团队不仅能消除数据外泄隐患，更能在保障企业合规底线的同时，为业务部门释放前沿 AI 工具的生产力潜能。