Ferramentas de segurança com IA ou contratar um desenvolvedor?

Uma equipe que precisa implementar SSO com urgência e outra que não tem tempo suficiente para revisar o código concluído precisam de investimentos diferentes. A primeira precisa de alguém responsável pelo projeto, pela implementação e pela manutenção da integração de identidades. A segunda, desde que já tenha uma pessoa responsável, pode complementar a revisão com ferramentas de análise.

O trabalho com autenticação inclui não apenas a tela de login, mas também MFA, permissões, redefinição de senhas, revogação de acesso no desligamento de funcionários e recuperação em caso de falhas. Em segurança e conformidade, reunir evidências também é diferente de aprovar exceções e assumir a responsabilidade por elas.

Considere, por exemplo, a revogação de acesso de funcionários desligados. Segundo a documentação do Auth0, desativar um usuário via SCIM encerra as sessões no Auth0 e revoga os tokens de atualização. Por outro lado, as sessões da aplicação e os tokens de acesso já emitidos precisam ser verificados separadamente.

Não se limite a constatar que “o SCIM foi bem-sucedido”: inclua nos testes de aceitação a verificação de que o acesso por sessões existentes e tokens é negado dentro do prazo acordado. Também quando integramos a análise de código ao ambiente de desenvolvimento via MCP, consideramos que conectar a ferramenta é diferente de assumir a responsabilidade pelo projeto de autenticação e pela aprovação de alterações.

Supondo que o trabalho exclusivamente humano exija 20 horas por mês, a um custo total de 8.000 ienes por hora, o valor anual será de 1.920.000 ienes. Se o apoio de IA tiver um custo inicial de 400.000 ienes e uma mensalidade de 30.000 ienes, e ainda forem necessárias 12 horas mensais de trabalho humano, o primeiro ano custará 400.000 ienes + 12 × (30.000 ienes + 96.000 ienes), totalizando 1.912.000 ienes. A diferença é de 8.000 ienes. Esses valores são hipóteses para demonstrar o método de comparação, não preços de mercado nem dados medidos.

Essa diferença não tem significado se as duas alternativas não incluírem o mesmo trabalho de projeto, implementação, validação e operação. Liste também o trabalho e os custos não contemplados nos números, como recrutamento, treinamento e atendimento noturno. Em especial, é importante não considerar como zero o tempo necessário para verificar os apontamentos da ferramenta.

Se não houver ninguém responsável pelo projeto e pela manutenção da autenticação, considere primeiro contratar ou atribuir essa responsabilidade a alguém da equipe atual. Se já houver uma pessoa responsável, mas as revisões estiverem atrasadas, teste a ferramenta na mesma revisão de código autorizada e meça o tempo gasto na verificação e quais apontamentos efetivamente levaram a correções.

A pergunta que os responsáveis pela decisão devem manter em foco não é tanto “o trabalho de quantas pessoas pode ser substituído?”, mas “quais tarefas serão aceleradas e quem assumirá o restante?”. Parece mais adequado começar com um escopo restrito e avaliar também o que deixou de ser detectado e a carga operacional.