L'acquisizione di C1.ai da parte di Workday trasforma i dati HR in un punto di controllo dell'identità
Workday ha firmato un accordo definitivo per acquisire C1.ai, dopo che la società di sicurezza delle identità aveva raccolto 111 milioni di dollari. L'acquisizione di C1.ai da parte di Workday punta a colmare il crescente divario tra l'adozione dell'AI nelle imprese e i controlli che regolano ciò a cui gli agenti possono accedere.
Precedentemente nota come ConductorOne, C1.ai gestisce gli accessi per dipendenti, identità software e agenti autonomi. Workday prevede di collegare questi controlli ai dati relativi al personale e all'organizzazione già archiviati nella sua piattaforma.
La strategia pone Workday in competizione con specialisti della governance delle identità come SailPoint, Saviynt, Microsoft e Okta. Solleva inoltre una domanda difficile per gli acquirenti aziendali. Il sistema che registra i cambiamenti nel rapporto di lavoro dovrebbe anche controllare l'accesso ad applicazioni, dati e infrastrutture?
Questa domanda rende l'operazione qualcosa di più di un'altra acquisizione nel software enterprise. Workday vuole trasformare gli eventi HR in eventi di sicurezza, ampliando il proprio ruolo dalla registrazione dei cambiamenti organizzativi all'applicazione delle loro conseguenze.
L'acquisizione di C1.ai da parte di Workday collega gli eventi HR agli accessi
Workday sta acquistando un livello di applicazione dei controlli in grado di tradurre i cambiamenti della forza lavoro in autorizzazioni per le applicazioni.
Workday ha annunciato l'accordo definitivo il 13 ottobre 2026. I termini finanziari non sono stati divulgati.
Si prevede che la transazione si concluda nel quarto trimestre fiscale di Workday, che termina il 31 gennaio 2027. Il completamento resta soggetto alle consuete condizioni di chiusura, comprese eventuali approvazioni normative richieste.
C1.ai è stata fondata nel 2020 da Alex Bovee e Paul Querna, entrambi ex dipendenti di Okta. Inizialmente l'azienda operava come ConductorOne e si concentrava sulla governance delle identità dei lavoratori umani.
Ha adottato il nome C1.ai nell'aprile 2026, quando l'ambito del prodotto si è esteso alle identità umane e non umane. Questa categoria include account di servizio, carichi di lavoro software e agenti AI che operano all'interno dei sistemi aziendali.
Prima dell'accordo di acquisizione, C1.ai aveva raccolto 111 milioni di dollari, secondo le notizie originali riassunte da Techmeme. Il suo maggiore round annunciato è stato un finanziamento da 79 milioni di dollari nell'ottobre 2025.
L'azienda afferma che la propria piattaforma si integra con e-mail, software di gestione delle relazioni con i clienti, repository di codice, applicazioni finanziarie e infrastrutture cloud. Può concedere accessi, applicare policy, richiedere l'approvazione umana e conservare i registri delle azioni.
La governance delle identità è il processo con cui si determina chi può accedere a un sistema, perché tale accesso sia giustificato e quando debba terminare. I programmi tradizionali si basano spesso su ticket, campagne di approvazione e revisioni programmate degli accessi.
Workday vede l'opportunità di sostituire parte di questo flusso di lavoro con controlli basati sugli eventi. Una nuova assunzione, un cambio di ruolo, un trasferimento o una cessazione generano già un evento in Workday.
Nell'ambito dell'integrazione proposta, questi eventi potrebbero attivare modifiche alle autorizzazioni nei sistemi collegati. Un dipendente in uscita potrebbe perdere l'accesso immediatamente, mentre un dipendente trasferito potrebbe ricevere le autorizzazioni associate al nuovo ruolo.
Lo stesso modello si applicherebbe agli agenti AI. Un agente potrebbe ricevere un accesso con ambito definito quando gli viene assegnato un compito, per poi perderlo al termine dell'incarico.
Il CEO di C1.ai Alex Bovee ha inquadrato l'acquisizione attorno a questo cambiamento nel suo racconto del fondatore. Ha sostenuto che gli agenti operano continuamente attraverso i sistemi aziendali e non possono dipendere da revisioni trimestrali degli accessi.
L'accordo unisce quindi due piani di controllo separati. Workday registra il contesto organizzativo, mentre C1.ai fornisce i meccanismi per tradurre quel contesto in autorizzazioni.
Questo collegamento crea la tensione centrale dell'acquisizione. Workday può ridurre il ritardo tra un cambiamento organizzativo e un aggiornamento degli accessi, ma concentra anche maggiore autorità in un'unica piattaforma.
Gli agenti AI hanno superato il modello di accesso dei dipendenti
Gli agenti AI creano identità più rapidamente di quanto i team di governance convenzionali possano esaminarle e gestirle.
L'accesso dei dipendenti ha confini riconoscibili. Una persona entra nell'organizzazione, riceve un ruolo, cambia responsabilità e infine se ne va.
Un agente AI non segue questo ciclo di vita stabile. Un team di sviluppo può creare un agente per un progetto temporaneo, copiarlo per un altro flusso di lavoro o collegarlo a diversi sistemi.
Alcuni agenti agiscono per conto di un dipendente identificato. Altri operano tramite credenziali condivise o account di servizio, rendendo più difficile attribuire le responsabilità.
Un utente umano di solito si ferma tra un'azione e l'altra. Un agente può eseguire operazioni ripetute su e-mail, codice sorgente, registri finanziari e dati dei clienti senza attendere ulteriori istruzioni.
Questa velocità modifica l'impatto di un'autorizzazione eccessivamente ampia. Un accesso eccessivo dei dipendenti è pericoloso, ma un agente può esercitare la stessa autorizzazione più frequentemente e su un numero maggiore di record.
Le organizzazioni faticano inoltre a stabilire una proprietà chiara. I team di sicurezza devono sapere chi ha approvato un agente, quale reparto lo gestisce e cosa accade quando il progetto originario termina.
Workday ha citato una ricerca di C1.ai secondo cui il 95% delle grandi aziende americane utilizza già agenti autonomi. Questa cifra proviene dall'azienda acquisita, quindi i lettori dovrebbero considerarla una rilevazione sponsorizzata dal fornitore.
La ricerca indipendente sostiene comunque la più ampia preoccupazione sulla governance. Un sondaggio globale condotto su 3.235 leader tecnologici e aziendali ha rilevato che solo il 21% ha dichiarato di disporre di una governance matura per l'AI agentica.
La stessa ricerca sulla governance ha identificato confini mancanti, sistemi di monitoraggio e piste di audit come debolezze comuni. Questi controlli sono importanti quando gli agenti possono prendere decisioni senza richiedere l'approvazione per ogni azione.
La risposta di Workday inizia con la registrazione. Il suo Agent System of Record è progettato per catalogare gli agenti, identificarne i proprietari e documentarne i ruoli.
Un registro da solo non può impedire accessi non autorizzati. Può mostrare che un agente esiste senza controllare ciò a cui l'agente può arrivare.
C1.ai dovrebbe aggiungere questo livello di applicazione dei controlli. Una volta registrato un agente, le policy potrebbero definire quali applicazioni può utilizzare e quali azioni richiedono l'approvazione umana.
Si consideri un agente per la contabilità fornitori che legge fatture e prepara transazioni. Potrebbe aver bisogno di accedere a una casella di posta, a un database dei fornitori e a record finanziari selezionati.
Non dovrebbe ricevere automaticamente ogni autorizzazione detenuta dal dipendente finanziario che lo supervisiona. L'agente necessita di una propria identità, di accessi più limitati e di un registro per ogni azione.
La distinzione è importante perché l'autorità delegata non è identica all'autorità del dipendente. Un agente può agire per conto di una persona senza ereditare ogni privilegio assegnato a quella persona.
Anche l'accesso deve scadere. Un agente temporaneo per la riconciliazione non dovrebbe conservare le credenziali dopo la conclusione del progetto di riconciliazione.
Questo ciclo di vita è stato difficile da gestire tramite le tradizionali code di ticket. I ticket dipendono dal fatto che le persone notino ogni evento di creazione, riassegnazione e dismissione.
Workday scommette che le informazioni sul ciclo di vita già presenti nella sua piattaforma possano offrire attivatori migliori. L'evento pertinente potrebbe riguardare una persona, un agente, un progetto o un ruolo aziendale in evoluzione.
Questo modello funzionerà solo se i dati sottostanti rimarranno accurati. L'automazione può accelerare le buone decisioni di accesso, ma può anche propagare ruoli errati e informazioni obsolete sulla proprietà.
Le organizzazioni hanno ancora bisogno di policy chiare e revisori responsabili. L'acquisizione cambia il modo in cui le policy possono essere applicate; non decide quali dovrebbero essere tali policy.
Workday vuole trasformare i dati HR in un segnale di sicurezza
L'accordo trasforma la posizione di Workday nel settore HR in un potenziale vantaggio rispetto ai fornitori dedicati alla governance delle identità.
Workday sa già quando molti dipendenti entrano, vengono trasferiti, ricevono promozioni, cambiano responsabile o lasciano l'azienda. Questi record forniscono un contesto che i sistemi di sicurezza spesso ottengono tramite integrazioni.
C1.ai potrebbe consentire a Workday di agire direttamente su questo contesto. La combinazione riduce la distanza tra il sistema che registra un cambiamento e quello che applica l'accesso.
Una promozione illustra il meccanismo. Workday registra il nuovo ruolo del dipendente, la linea gerarchica e la data di efficacia.
C1.ai potrebbe confrontare queste informazioni con le policy di accesso, concedere le autorizzazioni richieste dalla nuova posizione e rimuovere quelle legate alla precedente.
Lo stesso flusso di lavoro potrebbe riguardare i collaboratori esterni. L'accesso potrebbe iniziare alla data di efficacia del contratto e scadere automaticamente alla fine dell'incarico.
Per gli agenti AI, il contesto pertinente potrebbe includere un proprietario, un reparto, uno scopo approvato e un periodo operativo. Le policy potrebbero limitare l'agente alle applicazioni richieste per tale scopo.
Questo approccio differisce dal trattare l'identità come una voce statica di directory. Collega le autorizzazioni agli eventi aziendali e alle relazioni organizzative in continuo cambiamento.
Workday definisce la propria piattaforma un sistema di registrazione per persone, denaro e agenti. L'acquisizione tenta di estendere questa posizione all'applicazione delle identità nelle applicazioni di terze parti.
Questa estensione è importante perché un agente AI raramente rimane nell'ambiente di un unico fornitore. Può leggere dati Workday, inviare messaggi su un'altra piattaforma, ispezionare codice e aggiornare un sistema finanziario separato.
Controllare questo flusso di lavoro richiede connettori e un'applicazione affidabile delle policy al di fuori di Workday. Il valore di C1.ai dipende quindi in parte dall'ampiezza e dalla profondità delle sue integrazioni.
L'acquisizione si inserisce anche in una strategia Workday più ampia. L'azienda ha acquistato Flowise per aggiungere strumenti per la creazione e la gestione di agenti.
Workday ha descritto l'acquisto di Flowise come un modo per consentire a clienti e partner di creare agenti sulla sua piattaforma. Ha inoltre perseguito funzionalità AI per recruiting, apprendimento, recupero della conoscenza e attività lavorative.
C1.ai fornisce un livello di controllo mancante all'interno di questo portafoglio. Creare agenti aumenta la necessità di inventariarli, assegnarne la proprietà e limitarne gli accessi.
Lo stack risultante segue una sequenza logica. Un prodotto aiuta a creare un agente, un altro lo registra e C1.ai ne governa le autorizzazioni.
Per gli acquirenti aziendali, il vantaggio è la semplicità operativa. Un singolo evento organizzativo potrebbe aggiornare i record occupazionali, la proprietà degli agenti e gli accessi ai sistemi.
Questa promessa aumenta anche la dipendenza dalla qualità dei dati di Workday. Un codice lavoro errato o un record di cessazione ritardato potrebbe produrre una decisione di accesso non corretta in diversi sistemi.
La revisione umana resta essenziale per le autorizzazioni sensibili. L'accesso ad alto rischio a sistemi finanziari, infrastrutture di produzione o record riservati non dovrebbe dipendere esclusivamente dai dati sul ruolo.
Il modello più solido combinerebbe aggiornamenti automatici con eccezioni alle policy e punti di controllo per l'approvazione. Gli accessi ordinari potrebbero procedere rapidamente, mentre richieste insolite o privilegiate riceverebbero un esame più attento.
I knowledge worker affrontano un problema correlato nei sistemi documentali. Una base di conoscenza ricercabile è utile solo quando le sue autorizzazioni preservano i confini attorno al materiale sensibile.
Gli agenti AI rendono questi confini ancora più importanti perché possono recuperare e combinare informazioni provenienti da molte fonti. I controlli sull’identità devono seguire i dati anche quando un agente presenta una risposta unificata.
La strategia di Workday, quindi, non consiste semplicemente nell’aggiungere un altro prodotto di sicurezza. L’azienda vuole che il contesto aziendale diventi il punto di partenza delle decisioni di accesso in ambito enterprise.
SailPoint e altri fornitori di identità affrontano ora un rivale nativo HR
Workday entra in un mercato in cui fornitori consolidati già gestiscono identità complesse in ambienti enterprise eterogenei.
SailPoint, Saviynt, Microsoft Entra e Okta offrono tutti governance delle identità o controlli di accesso correlati. Anche CyberArk e altri fornitori di gestione degli accessi privilegiati governano identità macchina sensibili.
Queste aziende partono dall’infrastruttura delle identità. Workday parte dai dati sulla forza lavoro e sull’organizzazione.
Questa differenza definisce il principale confronto competitivo. I fornitori specializzati sottolineano l’indipendenza tra applicazioni, directory, sistemi HR e provider cloud.
Workday può sostenere che i suoi record offrano un contesto più ricco su ruoli ed eventi lavorativi. Può inoltre integrare la governance delle identità con prodotti già utilizzati dai reparti HR e finanza.
Nessuno dei due approcci prevale automaticamente. Gli ambienti di identità enterprise includono directory legacy, unità aziendali acquisite, appaltatori, partner e più sistemi HR.
Una multinazionale potrebbe utilizzare Workday per molti dipendenti, mantenendo al contempo piattaforme separate nelle controllate regionali. Potrebbe inoltre gestire applicazioni con modelli di autorizzazione che non si associano facilmente ai ruoli professionali.
I fornitori specializzati in identità hanno dedicato anni alla creazione di connettori e al supporto di questi ambienti complessi. Workday e C1.ai devono dimostrare una copertura e un’affidabilità comparabili.
Il design incentrato sull’automazione di C1.ai offre a Workday un punto d’ingresso credibile. La startup è stata creata per semplificare richieste di accesso, campagne di certificazione, provisioning e rimozione delle autorizzazioni.
I suoi prodotti focalizzati sugli agenti affrontano anche un problema più recente che gli operatori storici stanno cercando di risolvere rapidamente. Il vantaggio dipenderà dall’applicazione effettiva dei controlli, non dal linguaggio utilizzato per descrivere la governance dell’AI.
L’identità degli agenti sta diventando un’ampia categoria competitiva. I fornitori promettono sempre più spesso discovery, inventario, autorizzazione delegata, gestione delle credenziali e monitoraggio comportamentale.
Queste funzioni sono correlate, ma non intercambiabili. Un catalogo mostra quali agenti esistono, mentre l’autorizzazione controlla ciò che ciascun agente può fare.
La gestione delle credenziali protegge i segreti usati per raggiungere i sistemi. Il monitoraggio comportamentale cerca azioni sospette dopo che l’accesso è stato concesso.
C1.ai non elimina la necessità di tutti questi livelli. I clienti Workday potrebbero continuare a utilizzare prodotti separati per identità, accessi privilegiati, sicurezza cloud e rilevamento.
Questa realtà rende l’interoperabilità una questione centrale. Gli acquirenti vorranno che policy e registri di audit funzionino tra prodotti diversi senza creare fonti di verità contraddittorie.
La concorrenza si concentrerà anche sulla neutralità. Una piattaforma di identità specializzata può affermare di governare gli accessi senza favorire un particolare fornitore HR o applicativo.
Workday propone qualcosa di diverso. Può collocare la governance vicino ai record che descrivono dipendenti, manager, reparti e cambiamenti organizzativi.
La portata dell’azienda offre un importante canale di distribuzione. Workday afferma che oltre 11.500 organizzazioni utilizzano i suoi prodotti, incluse più del 65% delle aziende Fortune 500.
Queste cifre provengono da Workday, ma mostrano perché i fornitori di identità affermati devono prendere seriamente l’espansione. Workday può introdurre le funzionalità di C1.ai durante le conversazioni già in corso con i clienti.
La risposta dei concorrenti probabilmente si concentrerà su indipendenza, ampiezza dei connettori e supporto per ambienti non Workday. Potranno anche approfondire le integrazioni con più piattaforme HR.
Gli acquirenti enterprise dovrebbero evitare di ridurre la decisione a una checklist di funzionalità. I progetti di governance delle identità riescono o falliscono in base alla qualità delle policy, all’accuratezza dei dati, alla disciplina di implementazione e alla gestione continuativa.
Un’interfaccia di governance degli agenti può sembrare completa lasciando però applicazioni importanti al di fuori della propria portata. Gli acquirenti hanno bisogno di prove che la revoca avvenga realmente nei sistemi connessi.
Dovrebbero inoltre verificare come il prodotto gestisce le eccezioni. Le organizzazioni reali comprendono incarichi temporanei, accessi di emergenza, responsabilità condivise e dipendenti con più ruoli simultanei.
L’acquisizione di C1.ai da parte di Workday offre agli acquirenti una forte narrazione basata sul contesto. Il suo esito competitivo dipenderà dall’esecuzione in questi ambienti disordinati.
Centralizzare il controllo delle identità crea un nuovo rischio di concentrazione
Un piano di controllo unificato può rimuovere gli accessi più rapidamente, ma gli errori al suo interno possono propagarsi più lontano.
Workday presenta l’integrazione come una strada verso una governance più semplice e coerente. Il vantaggio è plausibile, specialmente quando i ticket manuali ritardano le modifiche agli accessi.
Tuttavia, la centralizzazione modifica il profilo di rischio. Se un sistema influenza lo stato HR, la registrazione degli agenti e l’accesso alle applicazioni, un record errato può avere conseguenze più ampie.
Un evento di cessazione del rapporto errato potrebbe revocare l’accesso a un dipendente ancora attivo. Un amministratore compromesso potrebbe potenzialmente modificare ruoli che determinano autorizzazioni altrove.
Una policy difettosa potrebbe concedere a un agente l’accesso a più sistemi del previsto. L’automazione distribuirebbe quindi l’errore in modo efficiente.
I responsabili della sicurezza dovrebbero separare la fonte del contesto organizzativo dall’autorità finale sugli accessi sensibili. Workday può fornire segnali preziosi senza diventare l’unico decisore non sottoposto a controlli.
Una prima valutazione indipendente è giunta a una conclusione simile. Sosteneva che le organizzazioni dovrebbero mantenere controlli di identità specializzati integrando al contempo C1.ai con Workday.
Questa raccomandazione riflette un principio di sicurezza noto. Le decisioni critiche sono più sicure quando le organizzazioni mantengono verifiche indipendenti e limitano il potere amministrativo concentrato.
Workday stessa elenca le difficoltà di integrazione tra i rischi della transazione. L’azienda afferma inoltre che servizi e funzioni non ancora rilasciati possono cambiare o arrivare più tardi del previsto.
Questa formulazione è importante perché l’accordo di acquisizione non equivale a un’integrazione di prodotto completata. I clienti dovrebbero distinguere tra l’architettura annunciata e le funzionalità attualmente disponibili.
Restano senza risposta diverse domande pratiche. Workday non ha divulgato il prezzo d’acquisto né un calendario di integrazione completo e dettagliato.
Non ha spiegato pubblicamente se C1.ai rimarrà ampiamente disponibile come piattaforma autonoma. Anche il futuro del marchio C1.ai resta poco chiaro.
I clienti al di fuori dell’ecosistema Workday necessitano di chiarezza sul supporto del prodotto e sulle priorità della roadmap. Vorranno garanzie che le integrazioni con altre piattaforme HR continuino a essere ben mantenute.
Anche gli attuali clienti C1.ai dovrebbero chiedersi come cambieranno i confini dei dati. Le piattaforme di governance delle identità elaborano informazioni sensibili su dipendenti, privilegi, applicazioni e relazioni di approvazione.
Combinare questi record con il contesto HR e finanziario di Workday crea un quadro operativo più ricco. Rende però anche più rilevanti i controlli di accesso, la registrazione degli audit e la separazione amministrativa.
Un’altra questione irrisolta riguarda il modo in cui Workday governerà gli agenti privi di un semplice rapporto di lavoro. Alcuni agenti servono un reparto, un flusso di lavoro del cliente o un processo automatizzato anziché un singolo dipendente.
Altri possono creare subagenti per attività temporanee. Proprietà e autorizzazioni ereditate diventano più difficili da seguire con il moltiplicarsi di queste relazioni.
Un sistema affidabile deve preservare una catena di responsabilità. Ogni agente dovrebbe avere un proprietario responsabile, una finalità definita, risorse approvate e una condizione di terminazione.
La piattaforma deve inoltre gestire con attenzione le credenziali. Dare a un agente accesso tramite la sessione di un utente umano può rendere poco chiaro quale soggetto abbia eseguito un’azione.
Identità separate migliorano l’attribuzione, ma creano più credenziali e policy da mantenere. Le credenziali a breve durata riducono l’esposizione, ma richiedono sistemi affidabili di emissione e revoca.
C1.ai afferma di supportare accessi con ambito definito, approvazioni umane, policy applicate e registri delle azioni. Sono funzionalità rilevanti, ma gli acquirenti dovrebbero verificarle nei propri ambienti.
Un proof of concept dovrebbe testare le azioni negate, non solo quelle riuscite. Dovrebbe mostrare se un agente resta bloccato quando cambia strumenti o segue un flusso di lavoro inatteso.
Gli acquirenti dovrebbero anche simulare dati obsoleti. Devono sapere cosa accade quando un record di proprietà, un gruppo di directory o un connettore applicativo smette di aggiornarsi.
I registri di audit devono essere comprensibili agli investigatori umani. Un grande flusso di log tecnicamente completi offre poco valore se i revisori non riescono a ricostruire chi ha autorizzato un’azione.
L’acquisizione non elimina questi problemi di implementazione. Alza la posta in gioco collegandone un numero maggiore alla piattaforma Workday.
Cosa dovrebbero osservare ora gli acquirenti enterprise
Il valore dell’accordo emergerà attraverso l’integrazione del prodotto, la fidelizzazione dei clienti e le risposte della concorrenza, piuttosto che dal linguaggio dell’acquisizione.
Il primo segnale è la roadmap di integrazione di Workday prima della fine del periodo di chiusura previsto. Gli acquirenti dovrebbero cercare date di disponibilità specifiche e flussi di lavoro supportati.
Una roadmap significativa spiegherà come gli eventi Workday attivino le policy C1.ai nei sistemi di terze parti. Dovrebbe identificare quali funzioni esistono oggi e quali dipendono da sviluppi futuri.
Saranno importanti informazioni dettagliate sui connettori. Le affermazioni sulla governance dell’accesso enterprise sono difficili da valutare senza sapere quali applicazioni supportano provisioning, revoca e autorizzazioni granulari.
La roadmap dovrebbe inoltre chiarire come l’Agent System of Record interagisce con C1.ai. Registrazione e governance devono condividere un’identità coerente senza trasformarsi in sistemi amministrativi duplicati.
Traguardi tecnici chiari rafforzerebbero la posizione di Workday. Traguardi ripetutamente rinviati o definiti in modo vago suggerirebbero che l’architettura annunciata resta aspirazionale.
Il secondo segnale è l’esperienza degli attuali clienti C1.ai. La fidelizzazione mostrerà se l’acquisizione amplia la piattaforma o la restringe attorno agli account Workday.
I clienti hanno bisogno di continuità per supporto, integrazioni, contratti e sviluppo del prodotto. Le organizzazioni che utilizzano un’altra piattaforma HR osserveranno eventuali riduzioni degli investimenti nei connettori di loro preferenza.
Workday dovrebbe chiarire se C1.ai proseguirà come offerta autonoma. Un’opzione di implementazione neutrale ridurrebbe le preoccupazioni relative a un consolidamento forzato.
Le evidenze dai clienti dovrebbero includere risultati sugli accessi, non soltanto flussi di lavoro più rapidi. Misure utili includono il tempo di revoca, gli account orfani, le eccezioni alle policy e le revisioni degli accessi non risolte.
Le implementazioni di agenti AI richiedono ulteriori evidenze. Gli acquirenti dovrebbero chiedere quanti agenti ricevono identità distinte e quanto rapidamente scompaiono le autorizzazioni inutilizzate.
Un numero crescente di agenti registrati significa poco se tali agenti operano ancora attraverso credenziali condivise dei dipendenti. La qualità dell’identità conta più delle dimensioni dell’inventario.
Il terzo segnale è la risposta di SailPoint, Saviynt, Microsoft, Okta e dei fornitori di accessi privilegiati. I loro rilasci di prodotto mostreranno se Workday ha individuato un’apertura difendibile.
I concorrenti possono indebolire il vantaggio di Workday acquisendo eventi HR in modo più efficace pur restando indipendenti. Possono anche rafforzare i controlli per gli agenti in più ambienti cloud e applicativi.
Osservate i prodotti che uniscono discovery, autorizzazione, emissione di credenziali e supervisione comportamentale. Un insieme frammentato di controlli può lasciare lacune tra registrazione e applicazione.
I prezzi e il packaging influenzeranno anch’essi l’adozione, anche se i confini tecnici dei fornitori contano più delle offerte introduttive. Gli acquirenti dovrebbero stabilire se la governance degli agenti sia un prodotto completo o un componente aggiuntivo con un ambito limitato.
La parola chiave principale finirà per contare meno del risultato misurabile. L’acquisizione di C1.ai da parte di Workday avrà successo solo se le organizzazioni potranno revocare più rapidamente gli accessi rischiosi senza creare un’altra autorità priva di controlli.
I team aziendali dovrebbero iniziare mappando i propri attuali punti di controllo. Identificate dove hanno origine gli eventi HR, quali sistemi li traducono in autorizzazioni e chi approva le eccezioni.
Quindi documentate ogni agente in produzione, il relativo responsabile, le sue credenziali e le risorse a cui è autorizzato ad accedere. Le identità sconosciute o condivise dovrebbero ricevere priorità, perché indeboliscono la responsabilità.
Valutate i futuri prodotti derivanti dall’acquisizione rispetto a questa mappa quando Workday pubblicherà i dettagli di implementazione. Chiedetevi se la piattaforma combinata colmi una reale lacuna di controllo o si limiti a spostarla.
Workday dimostrerà che il contesto organizzativo può migliorare l’applicazione delle policy di identità nei sistemi aziendali eterogenei? I responsabili della sicurezza e dell’IT dovrebbero pretendere prove tramite test di azioni fallite, esercitazioni di revoca e piste di audit leggibili prima di consolidare il controllo.
