Le identità non umane sono account utilizzati dal software invece che dalle persone: account applicativi, service principal, script, bot e workflow di automazione. Negli ambienti cloud, si autenticano alle API, accedono all'archiviazione, avviano distribuzioni e spostano dati tra servizi. Poiché non sono legate a un singolo dipendente, spesso superano in numero gli utenti umani e sono più facili da trascurare.
Sono importanti perché ogni identità non umana può contenere privilegi, segreti e relazioni di fiducia. Se una è troppo privilegiata, esposta o ruotata in modo inadeguato, un attaccante può abusarne per il movimento laterale, la persistenza o un accesso furtivo ai dati. I difensori tracciano queste identità separatamente dagli account utente, applicano il principio del privilegio minimo, ruotano le credenziali e monitorano attività API insolite. Nei programmi CIEM e IAM, le identità non umane sono una fonte chiave di proliferazione delle autorizzazioni e una lacuna comune nelle revisioni degli accessi.