CASB，说白了就是企业派去云端AppName门口的“保安队长”——员工上云干了什么、传了什么、有没有把公司机密带出门，它都管。

CASB 的全称是 Cloud Access Security Broker，中文叫“云访问安全代理”。名字很拗口，拆开就懂了：企业现在的工作全在云上（用云上的软件干活，术语叫 SaaS），可云上的软件成百上千，公司管不着也看不见，等于大门敞开。于是就有了 CASB——一个站在“公司”和“云端应用”中间的中间人，负责检查、放行、拦截、记录。Gartner 给它的官方定义是：位于云服务使用者与云服务提供商之间、对企业使用云服务实施安全策略执行的“中间关卡”。

为什么现在值得了解？因为最近一年，它踩中了两个风口：一是员工偷偷用公共 AI 工具处理工作引发的“影子 AI”数据泄露潮，CASB 正是发现和管控这类行为的主力工具；二是这个品类的开创者 Netskope 于 2025 年 9 月在纳斯达克上市，让这个"老词"重新成了资本市场和 CIO 圈的热词。

目录

1. CASB 是什么？——云上的保安队长
2. 为什么最近这么火？——影子 AI 与一场 IPO
3. 一张图看懂——门卫的一天
4. 和我有什么关系？——普通人、从业者、投资者
5. 一分钟总结
6. 延伸阅读

第一节：CASB 是什么？

先讲个场景。

十年前，公司的数据都住在自己的机房里——文件在公司的服务器上，邮件在公司的邮件系统里，机房门口有门禁，出口有安检。数据想“出门”，必须经过公司网络，在那个唯一的出口上装个防火墙（相当于大门口的安检机），就能看住一切。

现在呢？合同放在飞书文档里，客户资料在 Salesforce 里，报表在腾讯文档里，设计稿在企业网盘里，开会用 Zoom，连写代码都在 GitHub 上。数据像是搬出去分散住进了几百个“云上小区”，公司的“大门”形同虚设——员工用自己的账号、在任何地方、用任何设备，直接就上了云。安全团队两眼一抹黑：公司到底在用多少个云应用？机密文件有没有被传到不该去的地方？没人知道。

CASB 就是为这个盲区生的。它像一位尽职的保安队长，在员工和云端应用之间的必经之路上“站岗”，干四件大事，业内叫“四大支柱”：

1. 发现影子 IT（Shadow IT）：所谓影子 IT，就是员工没报备、私下用的云应用——比如设计部偷偷用某个国外网盘传文件。CASB 通过分析网络流量，把全公司上下的云应用使用情况列个清单，连谁在用、用了多久都摸清楚，再按 90 多项风险指标给每个应用打分。相当于保安队长先把小区里“住着谁、谁是可疑外来人员”全部登记造册。
2. 数据防泄漏（DLP，Data Loss Prevention）：发现“某某文件里带着客户身份证号正要上传到个人网盘”，当场拦下、加密或者打上“机密”标签。相当于保安搜身——机密文件想出门，先过安检。
3. 威胁防护：盯着账号行为，发现异常就报警。比如一个平时只在北京上班的账号，凌晨三点从境外登录还批量下载文件——八成是账号被盗了（业内叫“威胁行为分析”，UEBA，简单说就是给每个账号建立“正常行为画像”，偏离画像就预警）。相当于保安的人脸识别，识别出“这个人不对劲”。
4. 合规：把所有操作留痕记录，出了事能查证，应对审计和监管检查。相当于保安的值班日志。

它解决的核心问题就一句话：企业数据搬到了别人的地盘（云端），但安全责任还是自己的，CASB 就是把“看不见、管不着”的云端变成“看得见、管得住”。

值得一提的是，CASB 有两种“上岗姿势”：一种是内联模式——所有访问云应用的流量实时从它身上过，能当场拦截，像门卫站岗；另一种是 API 模式——不拦流量，而是通过云端应用的开放接口（API，可以理解为软件之间对账用的“后门电话”）定期进去巡逻扫描，事后发现泄密和错误配置再处置，像保安巡逻。多数企业是两种搭配着用。

第二节：为什么最近这么火？

CASB 这个词并不是新生儿——2012 年前后 Gartner 就提出了这个品类，Netskope 等公司同年开创了这一市场。一个“十年老词”为什么 2025、2026 年又翻红了？三个原因：

第一，“影子 AI”让老问题爆炸了。 2023 年以来，员工用 ChatGPT 这类公共 AI 工具处理工作成了常态：把代码贴进去调试、把客户资料贴进去写总结、把财务数据贴进去做分析——公司机密就这样流进了第三方 AI 的服务器。微软 2024 年发布的《工作趋势指数》显示，约 78% 的员工在工作和生活中“自带 AI 工具”（BYOD AI），根本不等公司批准；IBM《2024 年数据泄露成本报告》也指出，约五分之一的受访企业表示已经因员工使用“影子 AI”发生了数据泄露。怎么办？总不能一刀切禁用 AI——于是发现、评级、管控 AI 类 SaaS 应用，成了 CASB 的全新主战场。微软、Netskope 等厂商的文档里，如今都把“识别员工在用哪些 AI 应用”列为头号场景。

第二，行业把 CASB 收编进了更大的故事。 2019 年 Gartner 提出 SASE（安全访问服务边缘，简单说就是把一堆网络和安全功能打包成云服务），2021 年又从中拆出 SSE（安全服务边缘）这个品类。SSE 有“三件套”：SWG（安全 Web 网关，管上网）、ZTNA（零信任网络接入，管远程连内网）、CASB（管云应用）。CASB 从“单品”变成了每家 SSE 大厂菜单里的“标配菜”，出镜率反而更高了——现在聊 SASE 不聊 CASB，等于点火锅不点锅底。

第三，一场 IPO 把聚光灯打了回来。 2025 年 9 月，CASB 品类的开创者、SSE 厂商 Netskope 登陆纳斯达克（股票代码 NTSK），募资约 9 亿美元，成为近年美国网络安全行业规模最大的 IPO 之一。招股书里的核心卖点，正是“SaaS 安全 + AI 应用管控”的高增长。资本市场的聚光灯一打，这个沉寂多年的名词重新刷屏。

一句话总结：云应用越用越多、AI 工具越用越野，云端那道“看不见的防线”就越值钱——CASB 正站在这个位置上。

第三节：一张图看懂

下面这张图，是“保安队长 CASB 的一天”——员工访问云端应用的路上，它做四项检查，然后才放行：

flowchart TD
    A[员工设备<br/>电脑 / 手机] --> B[CASB<br/>企业云上的保安队长]
    B -->|登记| C1[发现影子IT<br/>摸清在用哪些云应用]
    B -->|搜身| C2[数据防泄漏DLP<br/>机密文件别乱传]
    B -->|识人| C3[威胁防护<br/>抓盗号和异常行为]
    B -->|留档| C4[合规审计<br/>操作留痕出事可查]
    B --> D[检查通过后放行<br/>邮箱 / 网盘 / CRM / AI工具]

而它有两种“上岗姿势”，多数企业双管齐下：

flowchart TD
    subgraph M1["内联模式：站岗拦检"]
        A1[用户访问云应用的流量] --> B1[实时经过CASB]
        B1 --> C1[当场放行或拦截]
    end
    subgraph M2["API模式：定期巡逻"]
        A2[CASB通过API连接SaaS] --> B2[定期扫描云端数据]
        B2 --> C2[事后发现泄密与错误配置]
    end

看懂这两张图，你就超过了 90% 第一次听到这个词的人。

第四节：和我有什么关系？

如果你是普通上班族：关系比你想的大。公司能不能用某个 AI 工具、能不能把文件转发到个人网盘、用私人电脑登录企业邮箱会不会被拦——背后八成就是 CASB 在执行策略。它不是要监视你，而是替公司看住“数据别从你手上溜出去”。理解它的逻辑，你就能理解公司 IT 规矩的“为什么”，少踩红线。

如果你是从业者（IT / 安全 / 通信行业）：CASB 是当前安全岗位招聘和售前方案里的高频词，尤其是 Microsoft Defender for Cloud Apps、Netskope、Zscaler 等产品线相关的岗位。更现实的路径是：CASB 只是 SSE 三件套之一，按 Gartner 的路线，单卖 CASB 的时代正在过去，能讲清“CASB + SWG + ZTNA + SASE 整体架构”的人，比只会讲单点功能的人值钱得多。对运营商和云厂商的人，企业 SaaS 安全也是政企云业务打包售卖时绕不开的加购项。

如果你是投资者：盯一条主线就够了——SaaS 渗透率和 AI 工具使用率持续上升，“影子 AI”治理需求就持续存在，SSE（含 CASB）是安全行业公认的高增速赛道之一，Netskope 上市后的财报表现是这个赛道的风向标。反面风险也明确：大厂（微软、Palo Alto、Broadcom）打包捆绑销售，正在挤压纯 CASB 单品厂商的生存空间，选股时要注意“单品”和“平台”的命运分化。

第五节：一分钟总结

1. CASB（云访问安全代理）就是企业派驻在员工与云端应用之间的“保安队长”。
2. 它干四件事：发现影子 IT、防止数据泄漏、防护账号威胁、满足合规留痕。
3. 它有两种姿势：内联站岗（实时拦截）+ API 巡逻（事后扫描）。
4. 它最近翻红，是因为员工乱用公共 AI 工具引发“影子 AI”泄密潮，而它正好是对症药。
5. 记住它的行业位置：CASB 是 SSE 三件套之一，而 SSE 是 SASE 的安全半边天。

延伸阅读

• SSE（安全服务边缘）：CASB 的“新家”——SWG、ZTNA、CASB 三件套打包成云服务的安全品类，下一篇值得展开。
• DLP（数据防泄漏）：CASB 四大支柱中最核心的一根，一套“机密文件别出门”的技术体系。
• 影子 IT（Shadow IT）：CASB 要治的“病”本身——员工绕开 IT 部门私用的应用和技术，AI 时代它的变体就是“影子 AI”。

参考来源

1. Microsoft Learn：What is Microsoft Defender for Cloud Apps — 微软官方文档，完整定义了 CASB 四大支柱（影子 IT 发现、信息保护、威胁防护、合规）及 SaaS 安全的演进方向（中文版交叉核对）。
2. Gartner IT Glossary：Cloud Access Security Brokers (CASBs) — Gartner 对 CASB 品类的官方定义，以及 SSE/SASE 框架下的分类位置。
3. Netskope：What is CASB? — 2012 年首创 CASB 品类厂商的官方科普，两种部署模式（内联/API）的行业通用表述出处。
4. IBM Cost of a Data Breach Report 2024 — “影子 AI 导致数据泄露”占比约五分之一的调查数据出处。

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。