Un'identità governata è un'identità aziendale controllata assegnata a un sistema non umano come un account di servizio, un flusso di lavoro di automazione o un agente di IA. Le assegna un insieme definito di autorizzazioni, regole di accesso e limiti di approvazione, così che possa operare all'interno degli strumenti aziendali senza comportarsi come un utente senza restrizioni.
Nella sicurezza informatica, le identità governate sono importanti perché trasformano l'autonomia in qualcosa che i difensori possono gestire. Se un agente può leggere email, modificare file o attivare flussi di lavoro, queste capacità dovrebbero essere limitate dal principio del privilegio minimo, registrate e revocabili. Una governance debole può consentire a un errore, una configurazione errata o una compromissione di diffondersi nei sistemi connessi. Gli aggressori spesso cercano di abusare di identità di servizio con privilegi eccessivi, rubarne i token o usarle come punto di pivot verso archivi dati e applicazioni SaaS. Una buona governance riduce questo raggio d'azione con autorizzazioni limitate, accesso condizionale, autenticazione forte, monitoraggio e disabilitazione rapida quando il comportamento sembra anomalo.