AI 安全工具還是聘請開發人員？

急於導入SSO的團隊，與沒有足夠時間檢查已完成程式碼的團隊，所需的投資並不相同。前者需要有人負責身分識別整合的設計、實作與維護。後者則是在已有負責人的前提下，可以考慮用分析工具輔助審查。

身分驗證工作不只包括登入畫面，也涵蓋MFA、權限、密碼重設、離職時停用存取權限，以及故障時的復原。即使在資安與法規遵循方面，蒐集佐證紀錄與核准例外並承擔責任，也是不同的工作。

以停用離職人員的存取權限為例。根據Auth0的說明，透過SCIM停用使用者後，Auth0端的工作階段會結束，更新權杖也會失效。不過，應用程式端的工作階段與已核發的存取權杖，仍須另外確認。

請勿僅以「SCIM 已成功執行」作為驗收標準；請將既有工作階段與權杖的存取是否會在約定時間內遭到拒絕，納入驗收測試。我們透過 MCP 將程式碼分析整合至開發環境時，也認為連接工具與承擔驗證設計及變更核准的責任，是兩回事。

假設完全依靠人力每月需要20小時，每小時負擔成本為8,000日圓，則每年為192萬日圓。若AI輔助的初期費用為40萬日圓、月費為3萬日圓，剩餘人工作業每月需要12小時，則第一年為40萬日圓＋12×（3萬日圓＋9.6萬日圓），合計191.2萬日圓，差額為8,000日圓。這些並非市場價格或實測數據，而是用來說明比較方法的假設。

如果兩個方案沒有涵蓋相同的設計、實作、驗證與維運工作，這個差額就沒有意義。也要列出未納入數字的工作，例如招募費用、培訓與夜間應變等。尤其重要的是，不要把確認工具所指出問題的時間視為零。

如果沒有人負責身分驗證的設計與維護，應優先考慮招募，或將這項職責指派給現有成員。如果已有負責人，但審查作業出現積壓，則可在同一個已獲授權的修訂版本上試用工具，衡量確認所花的時間，以及哪些問題回報實際促成了修正。

決策者應持續追問的，與其是「能取代多少人力」，不如是「能加快哪些工作，以及由誰承接其餘工作」。較合適的做法似乎是先限縮適用範圍，再將漏查情況與維運負擔一併納入判斷。