¿Herramientas de seguridad con IA o contratar a un desarrollador?

Un equipo que necesita implantar SSO con urgencia requiere una inversión distinta de la de un equipo al que le falta tiempo para revisar el código terminado. El primero necesita a alguien que se encargue del diseño, la implementación y el mantenimiento de la integración de identidades. El segundo, siempre que ya cuente con una persona responsable, puede complementar las revisiones con herramientas de análisis.

El trabajo de autenticación no abarca solo la pantalla de inicio de sesión, sino también MFA, permisos, restablecimiento de contraseñas, revocación del acceso cuando alguien deja la empresa y recuperación ante fallos. También en seguridad y cumplimiento normativo, recopilar evidencias es una tarea distinta de aprobar excepciones y asumir la responsabilidad.

Tomemos como ejemplo la revocación del acceso de alguien que deja la empresa. Según la documentación de Auth0, al desactivar un usuario mediante SCIM, se cierran sus sesiones en Auth0 y se invalidan sus tokens de actualización. En cambio, las sesiones de la aplicación y los tokens de acceso ya emitidos requieren comprobaciones adicionales.

No se limite a comprobar que «SCIM ha funcionado»: incluya en las pruebas de aceptación la verificación de que el acceso mediante sesiones y tokens existentes se deniega dentro del plazo acordado. También cuando integramos el análisis de código mediante MCP en el entorno de desarrollo, consideramos que conectar una herramienta es distinto de asumir la responsabilidad del diseño de la autenticación y de la aprobación de los cambios.

Supongamos que realizar el trabajo solo con personal requiere 20 horas al mes, con un coste total de 8.000 yenes por hora: el coste anual sería de 1.920.000 yenes. Si la asistencia de IA supone un coste inicial de 400.000 yenes, una cuota mensual de 30.000 yenes y quedan 12 horas mensuales de trabajo humano, el primer año costaría 400.000 yenes + 12 × (30.000 yenes + 96.000 yenes), es decir, 1.912.000 yenes. La diferencia es de 8.000 yenes. No son precios de mercado ni valores medidos, sino supuestos para ilustrar el método de comparación.

Esta diferencia carece de sentido si ambas opciones no incluyen las mismas tareas de diseño, implementación, verificación y operación. También hay que enumerar los costes y las tareas que no figuran en las cifras, como la contratación, la formación o la atención nocturna. En particular, es importante no considerar nulo el tiempo necesario para comprobar los hallazgos de la herramienta.

Si no hay nadie que se encargue del diseño y el mantenimiento de la autenticación, primero conviene plantearse contratar a alguien o asignar esa responsabilidad a un miembro del equipo actual. Si ya hay una persona responsable, pero las revisiones se acumulan, pruebe la herramienta sobre la misma revisión de código autorizada y mida el tiempo dedicado a comprobar sus hallazgos y cuáles de ellos dieron lugar a correcciones reales.

La pregunta que deberían dejar planteada quienes toman la decisión no es tanto «¿a cuántas personas puede sustituir?» como «¿qué tareas acelera y quién se encarga del resto?». Parece aconsejable empezar con un alcance limitado y evaluar también las omisiones y la carga operativa.