Beeld: AI-gegenereerd
IDC meldt op 21 september 2026 dat identiteitsbeheer achterblijft bij de inzet van AI-agents. Negen van de tien ondervraagde beslissers zien extra risicoās en willen hun aanpak aanscherpen.
De druk neemt snel toe door een explosie aan machine-identiteiten. Organisaties bouwden hun toegang vooral rond mensen. AI-agents, service-accounts, bots en API-sleutels groeien nu hard. Daardoor schiet het bestaande beheer tekort, aldus het onderzoek. IDC baseert zich op 539 senior IT-besluitvormers en C-level executives die in juli 2026 zijn bevraagd.
109 machine-identiteiten per medewerker
Voor elke medewerker draaien er gemiddeld 109 machine-identiteiten mee in een bedrijfsnetwerk. Het gaat dan om service-accounts, bots en API-sleutels. Dat zijn er te veel om handmatig bij te houden. Vroeger was het overzichtelijk. Medewerkers kregen een account en vaste rechten. Ging iemand uit dienst, dan sloot de organisatie het account. Die eenvoud houdt geen stand nu machine-identiteiten razendsnel groeien en zich vermenigvuldigen. IDC ziet dat organisaties niet zijn voorbereid op deze schaal en complexiteit. Van de 539 respondenten vindt 90 procent dat het identiteitsbeheer beter moet om AI-risicoās te beperken. Daarnaast ziet 58,7 procent de noodzaak om de aanpak ingrijpend te veranderen of zelfs helemaal te herzien. Zonder scherp zicht op processen is het volgens het onderzoek onmogelijk om te bepalen welke identiteiten, toegangsrechten en controles echt nodig zijn.
Maatregelen blijven achter bij inzicht
Inzicht en actie lopen uit elkaar, stelt IDC. Veel organisaties zien de noodzaak, maar voeren weinig door. Slechts 26,7 procent gebruikt dynamische, rolgebaseerde toegangscontroles. Die aanpak gebruikt AI en data-analyse om rechten te beheren. Daarmee blijft driekwart dus bij statische of minder slimme regels. Procedures voor incidenten ontbreken ook vaak. Nog geen kwart heeft vastgelegd en getest hoe Active Directory en Entra ID beschermd worden, hoe een cyberaanval wordt gedetecteerd en hoe herstel verloopt. IDC benadrukt dat een identiteit een kritieke toepassing is. Herstel moet daarom gecoƶrdineerd en gericht zijn op een schone staat. Snel herstel kan alleen als vooraf duidelijk is welke systemen, processen en personen direct nodig zijn. Opvallend genoeg heeft 57,7 procent dat niet vastgelegd. Valt de bedrijfsvoering stil, dan wordt een IT-kwestie een bedrijfsprobleem, waarschuwt het onderzoek.
Samenwerking IT en beveiliging hapert
De kloof tussen teams vergroot het risico, concludeert IDC. Bijna alle respondenten, 98,4 procent, vinden de samenwerking tussen IT en beveiliging verre van ideaal. Dat werkt door in preventie, detectie en herstel. Waar de IT-afdeling systemen draaiende wil houden, wil beveiliging risicoās beperken. De business wil vooral dat iedereen kan doorwerken. Bij identiteit komen die belangen samen. Bijna de helft, 49,7 procent, beaamt dat ingrijpende veranderingen nodig zijn. IDC schetst dat business-, IT-, beveiligings-, infrastructuur- en herstelteams nauwer moeten samenwerken. Doel is misbruik van identiteiten te voorkomen en na een cyberaanval snel te herstellen naar een schone staat. Zonder afstemming blijven gaten bestaan in toegangsrechten en controles. Die gaten groeien mee met het aantal AI-agents en workflows. Het beheer van mens en machine vraagt dus om Ć©Ć©n kompas en Ć©Ć©n proces. Anders ontstaan blinde vlekken die pas zichtbaar worden bij een incident.
ResOps als samenhangend proces
IDC brengt de brede aanpak samen in een operationeel proces: Resilience Operations, afgekort ResOps. Preventie, detectie, reactie en herstel zijn daarin geen losse eilandjes. Het zijn onderdelen van ƩƩn proces, met ƩƩn regie. Zo ontstaat samenhang tussen wie toegang heeft, hoe dat wordt gemonitord en hoe herstel verloopt. IDC verwacht dat ResOps in drie tot vijf jaar uitgroeit tot een standaard bedrijfsfunctie. Tot die tijd blijft identiteitsbeheer het zorgenkindje, stelt het onderzoek. De stap naar dynamische toegangscontrole is nog klein in aantal. Procedures voor Active Directory en Entra ID zijn vaak niet getest. En de samenwerking tussen teams is volgens 98,4 procent niet op orde. De onderzoeksresultaten leggen daarmee concrete prioriteiten op tafel: inventariseren van essentiƫle processen, rechten en controles, meer geautomatiseerde toegangsmodellen, en geoefend herstel naar een schone staat.
IDC noemt geen datum waarop organisaties breed overstappen, maar verwacht standaardisering van ResOps binnen drie tot vijf jaar.