Outil de sécurité IA ou recrutement d’un développeur ?

Une équipe qui doit déployer rapidement le SSO et une équipe qui manque de temps pour examiner le code terminé n’ont pas besoin des mêmes investissements. La première a besoin d’une personne chargée de concevoir, de mettre en œuvre et de maintenir la fédération d’identités. La seconde peut compléter ses revues par des outils d’analyse, à condition qu’une personne en soit déjà responsable.

Le travail sur l’authentification ne se limite pas à l’écran de connexion : il comprend aussi la MFA, les autorisations, la réinitialisation des mots de passe, la révocation des accès au départ d’un salarié et le rétablissement du service en cas de panne. En matière de sécurité et de conformité également, recueillir des éléments de preuve est une chose ; approuver des exceptions et en assumer la responsabilité en est une autre.

Prenons l’exemple de la révocation des accès d’un salarié qui quitte l’entreprise. Selon la documentation d’Auth0, désactiver un utilisateur via SCIM met fin aux sessions côté Auth0 et révoque les jetons de rafraîchissement. En revanche, les sessions côté application et les jetons d’accès déjà émis nécessitent des vérifications distinctes.

Ne vous contentez pas de constater que « l’opération SCIM a réussi » : incluez dans les tests d’acceptation la vérification du refus d’accès via les sessions existantes et les jetons dans le délai convenu. Lorsque nous intégrons l’analyse de code à notre environnement de développement via MCP, nous considérons également que connecter un outil et assumer la responsabilité de la conception de l’authentification et de l’approbation des modifications sont deux choses distinctes.

Supposons qu’un travail entièrement manuel demande 20 heures par mois, à un coût horaire chargé de 8 000 yens : le coût annuel est alors de 1 920 000 yens. Avec une assistance par IA nécessitant 400 000 yens de frais initiaux, 30 000 yens par mois et 12 heures de travail humain restantes par mois, la première année coûte 400 000 yens + 12 × (30 000 yens + 96 000 yens), soit 1 912 000 yens. L’écart est de 8 000 yens. Il s’agit d’hypothèses illustrant une méthode de comparaison, et non de prix du marché ni de valeurs mesurées.

Cet écart n’a de sens que si les deux options couvrent les mêmes travaux de conception, de mise en œuvre, de validation et d’exploitation. Dressez aussi la liste des coûts et des tâches absents de ces chiffres, notamment le recrutement, la formation et les interventions nocturnes. Il est particulièrement important de ne pas considérer comme nul le temps nécessaire pour vérifier les problèmes signalés par l’outil.

Si personne n’est chargé de concevoir et de maintenir l’authentification, envisagez d’abord un recrutement ou l’attribution de cette responsabilité à un membre de l’équipe existante. Si une personne en est responsable mais que les revues prennent du retard, testez les outils sur la même révision autorisée et mesurez le temps consacré aux vérifications ainsi que les signalements ayant effectivement conduit à des corrections.

La question à consigner pour les décideurs est moins « Combien de personnes peut-on remplacer ? » que « Quelles tâches peut-on accélérer, et qui prendra en charge le reste ? ». Il semble préférable de commencer par un périmètre restreint, puis de décider en tenant également compte des problèmes non détectés et de la charge d’exploitation.