KI-Sicherheitstool oder Entwickler einstellen?

Ein Team, das SSO dringend einführen muss, benötigt andere Investitionen als ein Team, dem die Zeit zur Prüfung fertiggestellten Codes fehlt. Im ersten Fall braucht es jemanden, der die Konzeption, Implementierung und Wartung der Identitätsanbindung übernimmt. Im zweiten Fall können Analysewerkzeuge die Reviews ergänzen, sofern bereits eine zuständige Person vorhanden ist.

Zur Arbeit an der Authentifizierung gehören nicht nur die Anmeldemaske, sondern auch MFA, Berechtigungen, das Zurücksetzen von Passwörtern, der Entzug von Zugriffsrechten beim Ausscheiden von Mitarbeitenden und die Wiederherstellung nach Störungen. Auch bei Sicherheit und Compliance sind das Sammeln von Nachweisen und das Genehmigen von Ausnahmen samt Übernahme der Verantwortung unterschiedliche Aufgaben.

Ein Beispiel ist der Entzug des Zugriffs für ausgeschiedene Mitarbeitende. Laut der Beschreibung von Auth0 werden beim Deaktivieren eines Benutzers über SCIM die Sitzungen auf Auth0-Seite beendet und die Refresh-Tokens widerrufen. Die Sitzungen auf Anwendungsseite und bereits ausgestellte Access-Tokens müssen hingegen gesondert geprüft werden.

Belassen Sie es nicht bei „SCIM war erfolgreich“, sondern nehmen Sie in die Abnahmetests auf, ob Zugriffe über bestehende Sitzungen und Tokens innerhalb der vereinbarten Zeit verweigert werden. Auch wenn wir Codeanalyse über MCP in die Entwicklungsumgebung integrieren, unterscheiden wir zwischen der Anbindung eines Tools und der Verantwortung für das Authentifizierungsdesign sowie die Genehmigung von Änderungen.

Angenommen, die rein manuelle Bearbeitung benötigt 20 Stunden im Monat bei einem Vollkostenstundensatz von 8.000 Yen. Das ergibt jährlich 1.920.000 Yen. Betragen die Anfangskosten für KI-Unterstützung 400.000 Yen, die monatlichen Kosten 30.000 Yen und der verbleibende manuelle Aufwand 12 Stunden im Monat, ergeben sich im ersten Jahr 400.000 Yen + 12 × (30.000 Yen + 96.000 Yen), also 1.912.000 Yen. Die Differenz beträgt 8.000 Yen. Dies sind weder Marktpreise noch Messwerte, sondern Annahmen zur Veranschaulichung der Vergleichsmethode.

Diese Differenz ist nur aussagekräftig, wenn beide Varianten dieselben Aufgaben für Konzeption, Implementierung, Validierung und Betrieb umfassen. Listen Sie auch die nicht eingerechneten Kosten und Aufgaben auf, etwa Personalbeschaffung, Einarbeitung und nächtliche Einsätze. Besonders wichtig ist, den Zeitaufwand für die Prüfung der Werkzeughinweise nicht mit null anzusetzen.

Wenn niemand für die Konzeption und Wartung der Authentifizierung zuständig ist, sollten Sie zunächst eine Einstellung oder die Zuweisung dieser Aufgaben an bestehende Teammitglieder prüfen. Gibt es bereits eine zuständige Person, aber die Reviews stocken, testen Sie Werkzeuge an derselben freigegebenen Code-Revision und messen Sie den Prüfaufwand sowie die Hinweise, die tatsächlich zu Korrekturen geführt haben.

Die Frage, die Entscheidungsträger festhalten sollten, lautet weniger „Wie viele Personen lassen sich ersetzen?“ als vielmehr „Welche Aufgaben beschleunigen wir, und wer übernimmt den Rest?“. Es erscheint sinnvoll, mit einem begrenzten Anwendungsbereich zu beginnen und bei der Bewertung auch übersehene Probleme und den Betriebsaufwand zu berücksichtigen.