Entro il 2031 più di un quarto delle aziende nel mondo utilizzerà soluzioni di Identity e Access Management (Iam). Si parla di oltre 88 milioni di aziende, contro i 67,6 milioni del 2026. La crescita, che supera il 30% in cinque anni, è fotografata dallo studio di Juniper Research e qualifica un settore che sta cambiando natura. A spingerlo non è più soltanto la gestione degli accessi delle persone, ma il moltiplicarsi esponenziale delle identità non-human (agenti AI, service account, workload) destinate a superare in numero i dipendenti. È lo stesso spostamento evocato dal titolo dello studio, Non-Human Identities – Transforming Identity & Access Management.
Le identità non-human spostano il baricentro sicurezza
Governare le macchine diventa quindi il nuovo baricentro della sicurezza aziendale. Non a caso la ricerca legge l’espansione dell’Iam soprattutto in chiave difensiva, come risposta all’aumento delle minacce legate all’AI e alla necessità di proteggere sistemi e processi da accessi e azioni non previsti.
Con l’espressione identità non-human si indicano service account, bot, workload, interfacce applicative (Api) e, sempre più, agenti AI. Parliamo di account che agiscono senza che ci sia una persona dietro ogni azione. A differenza degli utenti, operano in modo continuo attraverso ambienti cloud e ibridi, e proprio questa autonomia li rende difficili da tracciare, governare e proteggere con strumenti Iam nati per le persone. Il risultato, quando mancano controlli adeguati, è una crescita silenziosa del rischio: proliferano l’accesso diffuso a specifici privilegi, gli account dormienti, scende la governance sulla titolarità delle utenze, crescono le credenziali che restano valide molto dopo aver esaurito il loro scopo. Anche la gestione del ciclo di vita, dal provisioning iniziale alla disattivazione, deve ormai estendersi a queste utenze, non più solo ai profili dei dipendenti.
La diffusione di strumenti di GenAI, agenti autonomi e flussi di lavoro da macchina a macchina amplifica il problema. Questi ambienti poggiano su Api, service account, identità di workload e segreti, e introducono un livello di rischio che i controlli tradizionali, centrati sull’utente umano, non coprono del tutto.
Cambia il mercato, dalla verifica statica alla governance continua
Per Juniper Research la gestione delle identità non-human non è perciò una semplice estensione tecnica dell’Iam, ma una vera evoluzione del mercato: i fornitori meglio posizionati saranno quelli capaci di offrire visibilità, gestione dell’intero ciclo di vita, controllo delle credenziali e applicazione delle policy anche là dove a chiedere accesso non è una persona.
Il secondo grande “movimento” riguarda il modo in cui l’accesso viene deciso. L’Iam si sta spostando da regole statiche a controlli adattivi, basati sul contesto e sul rischio. Al centro ci sono i cosiddetti trust signal. Sono indicatori come la postura del dispositivo, la posizione, il comportamento dell’utente, gli schemi di login o la sensibilità della risorsa richiesta, che i sistemi valutano di continuo per approvare, mettere alla prova o bloccare una richiesta. L’analisi comportamentale, per esempio, confronta ogni azione con il comportamento abituale dell’entità e segnala accessi da luoghi inusuali o sessioni a rischio. È l’approccio che alimenta i modelli zero trust, in cui nessun accesso è concesso una volta per sempre.
Su questo terreno si gioca, secondo Juniper Research, la vera differenza competitiva tra i fornitori. La sintetizza il VP Research, tra gli autori della ricerca, Nick Maynard: “Invece di affidarsi a revisioni periodiche degli accessi, i team Iam devono usare monitoraggio automatizzato e controlli sull’intero ciclo di vita per individuare i problemi in modo continuo. Questo approccio consente ai sistemi Iam di intercettare le criticità nel momento in cui si presentano, come privilegi eccessivi, account dormienti e deviazioni nelle policy”. La posta in gioco, con gli agenti AI che possono agire senza sosta, cambiare comportamento o conservare le credenziali ben oltre lo scopo iniziale, richiede allora verifiche a intervalli fissi rischiano di accorgersi dei problemi quando è troppo tardi.
Attori e opportunità sul mercato
Nell’ambito dello studio, Juniper Research pubblica il suo Competitor Leaderboard 2026, che valuta 21 fornitori del settore. Ai primi cinque posti figurano Microsoft, Okta, Oracle, Ibm Security Verify, e Ping Identity, indicati come gli operatori più avanzati proprio nella governance continua delle identità. La ricerca poggia su circa 27.500 punti dati e su un indice di maturità dedicato a oltre 70 paesi, e colloca la crescita dell’adozione in tutte le principali aree geografiche, dal Nord America all’Asia-Pacifico.
Accanto alle identità non-human, il rapporto individua altri due fronti di opportunità. Il primo è lo Iam cloud-native e ibrido. Spieghiamo: con organizzazioni che operano contemporaneamente su sistemi on-premise, applicazioni SaaS e infrastrutture multicloud, il vantaggio va ai fornitori capaci di offrire una vista unica di identità e autorizzazioni senza sostituire i sistemi già in uso.
Il secondo è l’autenticazione passwordless con biometria: passkey basate sullo standard Fido, token hardware e riconoscimento di volto o impronta promettono un’autenticazione resistente al phishing e, insieme, meno attriti per gli utenti e minori costi legati a reset e proliferazione delle password. In entrambi i casi la ricerca lega il successo alla capacità di integrarsi con l’esistente e di rispettare i vincoli normativi e di privacy.
Il quadro che emerge è quello di un mercato che cambia funzione. Per anni lo Iam è stato soprattutto il custode degli accessi delle persone; nei prossimi cinque anni dovrà diventare lo strato di governance di un ecosistema di identità in larga parte non umano, in cui le macchine chiedono accesso più spesso degli esseri umani. La linea di demarcazione, secondo Juniper Research, sarà la capacità di passare da controlli periodici a una supervisione continua. In questa prospettiva la gestione delle identità non umane smette di essere una nicchia tecnica e si candida a diventare, entro il 2031, uno dei capitoli centrali della sicurezza aziendale.
© RIPRODUZIONE RISERVATA
