企業 IT 管理員如何在 Grammarly Business 中配置資料隱私、DLP 規則與生成式 AI 管控

企業在評估並導入 AI 書寫輔助工具時，IT 與資訊安全團隊往往面臨嚴肅的資安權衡：員工借助工具固然能提升日常英文溝通效率與專業品質，但未受規範的瀏覽器外掛程式與桌面端輸入法掛載，極可能將專有原始碼、未公開財務機密、病患健康記錄及客戶個人識別資訊（PII）暴露給雲端服務。

Grammarly Business（特別是 Enterprise 企業級方案）針對此合規痛點建立了集中的管理與治理引擎。IT 管理員無須仰賴終端員工的自律行為，即可在管理後台統一實施資料外洩防護（DLP）去識別化、內網網域與敏感桌面應用程式黑名單封鎖、第三方機密模式連動，並按部門使用者群組分配生成式 AI 功能權限。

本指南為企業 IT 與資安管理員提供清晰詳盡的操作步驟，指導如何在 Grammarly Admin Console 中配置 DLP 規則、網域與程式封鎖清單，以及以群組為基礎的生成式 AI 存取控制。

一、企業級安全架構的四層防護體系

Grammarly 企業版部署依循四個互相協同的防禦層級：

二、配置資料外洩防護（DLP）與內容去識別化規則

Grammarly 的原生 DLP 功能在終端用戶端直接進行資料清洗，支援 Chrome、Firefox、Edge 瀏覽器擴充功能、Windows 與 macOS 桌面用戶端，以及 Web 線上編輯器。相較於發生洩漏後才發出警報或攔截的傳統終端 DLP，Grammarly 在文字封包送往雲端微服務前即完成替換，敏感內容根本不會離開本地環境。

步驟 2.1：檢視 DLP 啟用狀態

1. 以管理員帳號登入 Grammarly Admin Console。
2. 在導覽列中選取 Organization。
3. 在 Enterprise Security 分類下方點擊 Data。
4. 找到 Data Loss Prevention (DLP) 區塊，檢視當前組織的規則啟用狀態。

步驟 2.2：支援辨識的敏感資料類型

啟用 DLP 後，系統會自動辨識並遮蔽關鍵的個人與財務資訊：

• 個人聯絡資訊： 電子郵件地址（Email addresses）、電話號碼（Phone numbers）、網頁連結（URLs）。
• 各國法定身分證號： 美國社會安全碼（US SSN）、英國國民保險號碼（UK NINO）、加拿大社會保險號（Canada SIN）。
• 金融與帳戶憑證： 信用卡號碼（Credit card numbers）、國際銀行帳戶號碼（IBAN）。

當員工輸入包含上述字串的文字時，真實資料會在本地端轉換為匿名標記後再進行語法與修辭分析，確保敏感字元不會流入雲端。

步骤 2.3：使用「Test out DLP」沙箱進行驗證

在將原則全面推播至各部門前，管理員可在後台即時驗證：

1. 在 Data 頁面中，點擊 Test out DLP 按鈕。
2. 在測試文字框中輸入含有範例信用卡號、測試身分證字號或特定網址的字串。
3. 觀察右側偵測結果，確認系統是否精確辨識目標格式並模擬遮蔽。
4. 自訂欄位調整： 如企業需增加特定員工工號格式或專屬正規表示式，需聯絡指定之 Grammarly 客戶成功經理（CSM），於後端設定檔進行專案客製。

三、啟用第三方機密模式（Third-Party Confidential Mode）

法律、財務與醫療等核心團隊常需處理受保密協議約束的合約或符合 HIPAA 規範的醫療檔案。Grammarly 提供了與郵件及微軟生態系整合的機密模式。

步驟 3.1：開啟機密模式總開關

1. 進入管理後台：Organization → Enterprise Security → Data。
2. 找到 Third-Party Confidential Mode 開關並切換為 On。

步驟 3.2：連動 Microsoft Word 敏感度標籤（Purview / MIP）

當使用者在 Windows 桌面端執行 Grammarly 時，用戶端可自動讀取 Word 文件的敏感度中繼資料：

1. 在 Third-Party Confidential Mode 區塊下方的 Labels 表格中點擊 Add。
2. 輸入標籤名稱（例如 Highly Confidential、Restricted - Internal Only）。
3. 填入在 Microsoft Purview（或 Microsoft 365 合規中心）中為該標籤建立的 Label ID (GUID)。
4. 點擊 Save 儲存。

一旦員工開啟帶有此 GUID 敏感度標籤的 Word 文件，Grammarly 桌面程式將即刻關閉對該文件的內容掃描與建議功能。

步驟 3.3：Gmail 機密模式支援

對於採用 Google Workspace 的企業，若寄件者在瀏覽器（Chrome、Edge 或 Firefox）撰寫郵件時啟用了 Gmail 原生「機密模式」（Confidential Mode），Grammarly 擴充功能將自動停止該郵件視窗內的文字偵測。

四、實施網域名稱與桌面應用程式黑名單（Blocklist）

為防止瀏覽器外掛程式擷取企業內部代碼庫、雲端主控台、HRIS 人資系統或內部系統中的敏感字元，IT 管理員可設定全組織或部門層級的封鎖清單。

步驟 4.1：新增網域名稱黑名單（Web 端）

1. 前往 Organization → Enterprise Security → Domains and apps。
2. 點擊 Add to block list 並選取 Domain。
3. 輸入網域名稱，不包含協定與路徑（例如輸入 internal-portal.corp.net 或 workday.com，請勿加上 https:// 或 www）。
4. 勾選 Include subdomains，使封鎖規則遞迴涵蓋所有子網域（如 *.corp.net）。
5. 指定套用範疇：
   • Entire organization： 對全公司所有授權席位生效。
   • Specific groups： 僅針對研發、財務或法務等指定群組生效。
6. 點擊 Add 完成配置。

步驟 4.2：封鎖敏感桌面應用程式（應用程式端）

Grammarly for Windows 與 Grammarly for Mac 會透過作業系統無障礙 API 在桌面程式中提供輔助。針對命令列工具、資料庫管理軟體、會計系統或 IDE，管理員應加入處理程序黑名單：

1. 在 Domains and apps 頁面中，點擊 Add to block list 並選取 Application。
2. 輸入執行檔名：
   • Windows： 填入確切的 .exe 檔名（例如 powershell.exe、cmd.exe、dbeaver.exe、devenv.exe）。
   • macOS： 填入應用程式二進位名稱（例如 Terminal、Xcode、iTerm2）。
   • 跨平台混用環境： 建議分別新增 Windows 與 Mac 對應的名稱項目。
3. 選擇適用的公司全體或指定同步群組，點擊 Add 儲存。

重大架構注意事項：黑名單機制與白名單差異

目前 Grammarly 管理後台採用黑名單模型（Blocklist），尚未提供預設全關、僅在極少數批准應用程式中執行的「白名單模式」。因此，資安團隊必須主動盤點內部敏感端點，並結合端點管理解決方案（MDM，如 Microsoft Intune 或 Jamf）及群組原則（GPO）以控制擴充功能安裝範圍。

此外，管理員可在 Organization → Enterprise Security → Client apps 中，將不同平台的用戶端設定為 Managed（受管）或 Blocked（禁用），防止員工安裝未經資安審核的產品型態。

五、按部門權限劃分生成式 AI 存取原則

生成式 AI（GenAI）在行銷企劃與客服應答上能大幅提升產出，但對研發專利程式碼、財務報表及法務合約撰寫而言，可能引發智慧財產權與監管合規疑慮。Grammarly 支援精細化的角色分權控制。

步驟 5.1：進入功能權限設定頁

1. 登入管理後台，選取 Organization。
2. 點擊進入 Feature access 頁籤。

步驟 5.2：配置 AI Assistant 開啟範圍

• 全組織停用： 將 AI assistant 開關切換至 Off。所有員工仍可正常使用拼字、文法檢查與語氣建議，但完全無法呼叫提示詞文字生成工具。
• 分部門群組啟用： 將開關切換為 On，但僅指派給特定群組（如 行銷推廣組、客戶支援組）。法務、財務與技術團隊不納入，從根本阻絕大型語言模型輸入風險。

步驟 5.3：控管 Docs with agents 與進階改寫工具

除對話式 AI 助理外，管理員可進一步精細管理衍生功能：

• Docs with agents： 於 Feature access 中開啟或關閉多 Agent 創作頁面；若開啟，管理員可在 Organization → Agent access 中單獨審核並禁用特定 Agent。
• 段落重寫與語言翻譯： 控制使用者是否能使用段落層級改寫（Paragraph-level rewrites）與即時翻譯功能，為高合規敏感度團隊關閉重構輸出權限。

六、底層隱私承諾、數據加密與零留存架構

在出具企業資安審查與合規稽核報告時，安全主管可依據 Grammarly 的底層雲端架構與加密規範進行驗證。

6.1 企業數據絕不參與模型訓練

Grammarly 在服務合約與架構層面均明確承諾：企業客戶的任何輸入文字均不會被用於訓練 Grammarly 的機器學習模型或第三方的基礎大型語言模型。 在 Enterprise 訂閱層級中，數據回饋與產品改進開關在租戶層面預設關閉。

6.2 Azure OpenAI 零數據留存（Zero-Day Retention）

Grammarly 的生成式 AI 服務架構採用 Microsoft Azure OpenAI Service：

• 零留存協議： 傳送至 Azure OpenAI 的提示詞與產出內容絕不被微軟伺服器記錄、快取或儲存。
• 虛擬租戶隔離： 企業流量在受保護的隔離雲端環境中處理。
• 預處理去識別化： 數據提交至大型語言模型前，必須先通過內部的 PII 遮蔽與去識別化清洗管道。

6.3 客戶自持金鑰加密（BYOK）

對於對靜態資料加密擁有最高監管標準的企業，Enterprise 方案支援基於 AWS KMS 的 BYOK（Bring Your Own Key）：

• 企業在自有的 AWS 帳號中建立主要金鑰，並將 Amazon Resource Name (ARN) 提供給 Grammarly。
• 儲存於 Grammarly 伺服器的所有靜態資料均由企業自持金鑰進行 AES-256 加解密。
• 一旦企業在 AWS KMS 撤銷存取授權，Grammarly 側儲存的資料即刻達到「密碼學銷毀」（Crypto-shredding）效果。
• 所有金鑰呼叫歷史皆完整留存於企業的 AWS CloudTrail 中，具備完整的稽核軌跡。

6.4 驗證與法規認證資質

• 單點登入與自動佈建： 支援 SAML 2.0（Okta、Microsoft Entra ID、PingIdentity、Google Workspace）並搭配 SCIM 實現員工離職即刻回收權限。
• 連線階段逾時策略： 後台可強制設定閒置逾時期間，避免公用終端機工作階段遭非法存取。
• 國際權威認證： 具備獨立稽核之 SOC 2 (Type II)、ISO/IEC 27001、27017、27018、27701 認證，且可簽署正式 BAA 協議以滿足 HIPAA 醫療法規標準。

七、IT 管理員實施檢查清單

為確保管理原則穩健且符合稽核標準，建議採用下列分階段導入步驟：

[ ] 步驟一：目錄服務與身分驗證基線
    - 完成 SAML 2.0 SSO 與 SCIM 同步配置。
    - 將企業目錄群組（法務、財務、工程、行銷等）對應至 Grammarly 使用者群組。

[ ] 步驟二：網路與桌面邊界防護
    - 於 Domains and apps 中登錄企業內部代碼庫、HR 平台與內網網域（啟用子網域遞迴）。
    - 於 App Blocklist 中加入終端機、資料庫與程式開發工具程序（.exe / binary）。

[ ] 步驟三：內容防外洩與機密標籤設定
    - 確認 Enterprise Security → Data 下的 DLP 引擎處於啟用狀態。
    - 使用「Test out DLP」沙箱測試個資與信用卡格式替換效果。
    - 開啟 Third-Party Confidential Mode，匯入 Microsoft Purview 敏感度標籤 GUID。

[ ] 步驟四：部門層級生成式 AI 策略分級
    - 進入 Feature access，依據最小權限原則僅對核准部門開啟 AI Assistant。
    - 針對核心合規團隊關閉 Docs with agents 與段落重寫翻譯功能。

[ ] 步驟五：金鑰治理與合規落實
    - 若有高度數據自持要求，完成 AWS KMS BYOK 金鑰綁定。
    - 涉及醫療病患資料之業務單位，聯繫法務團隊完成 Grammarly BAA 簽署。

透過全面實施傳輸前 DLP 去識別化、微軟敏感度標籤聯動、內網與特定軟體隔離，以及依業務群組劃分的生成式 AI 存取權限，IT 管理團隊能在守護企業資訊資產與法規底線的同時，安全賦能全體員工的日常書寫與溝通生產力。

參考資料

• The Grammarly User Trust Center | Security, Privacy, & Compliance
• Security at Grammarly
• Grammarly for Enterprise
• Grammarly for Business | AI Writing Assistance for Teams of all Sizes
• Grammarly Support