セキュリティチームは、これまで従業員IDを適切に管理することに努めてきた。しかし、管理対象は人間だけではない。  サーバー・API・自動化ボット（RPA）などのマシンアイデンティティ（machine identity）が増加している。 

マシンアイデンティティはIDが割り当てられているものの、適切に管理されていないケースが多い。 

Gartnerの2024年IAMリーダーシップ調査の結果、87%のセキュリティチームがマシンアイデンティティの管理責任を負っているが、実際に管理を行っているのはわずか半分に過ぎないことが明らかになった。 

実際に、サイバー攻撃者の主要な侵入経路の一つが「放置されたマシンアイデンティティ」である。 

2023年、米国の製造企業において、定期バックアップ作業に使用されていた自動化ボットアカウントがハッキングされ、データベース全体が暗号化される被害が発生した。マシンアイデンティティに多要素認証（MFA）が設定されていなかったためである。すべてのマシンアイデンティティに対して、本人確認と権限管理ポリシーを適用する必要がある。

DevOps環境においても「マシン専用のIAMポリシー」を策定し、自動化されたセキュリティ検査を実行する。セキュリティ教育の際には、人だけでなくシステムアカウントの重要性についても合わせて認識する必要がある。