Portada
mis comunidades
otras secciones
#1:
No hay mejor que privatizarlo todo para que nada salga del todo bien.
Si no subcontrataran en cascada y tuvieran personal informático estable y especializado tal vez los resultados no fueran tan nefastos. Pero hay que maximizar beneficios a base de explotación, bajos costes y rapidez.
Si no subcontrataran en cascada y tuvieran personal informático estable y especializado tal vez los resultados no fueran tan nefastos. Pero hay que maximizar beneficios a base de explotación, bajos costes y rapidez.
#23:
#18 Home meu, seamos sinceros, una app para gestion de citas no debería ser precisamente un reto intelectual tan grandioso que necesitases a los mas brillantes desarrolladores de silicon valley pa picarla, hay un par de requisitos y poco mas.
La noticia es q ese par de requisitos se los han saltado, y se los han saltado en cascada (el de la toma de requerimientos (que igual ni lo consideraron), el becario que lo picó, su responsable que debía haber revisado el código y a probar la UAT, el auditor de calidad, el jefe de proyecto...)
Puedes perfectamente tener a juniors haciendo aplicaciones simples (de hecho es la forma de que aprendan), lo que no puedes tener es a juniors haciendo lo que buenamente entiendan sin supervisión.
La noticia es q ese par de requisitos se los han saltado, y se los han saltado en cascada (el de la toma de requerimientos (que igual ni lo consideraron), el becario que lo picó, su responsable que debía haber revisado el código y a probar la UAT, el auditor de calidad, el jefe de proyecto...)
Puedes perfectamente tener a juniors haciendo aplicaciones simples (de hecho es la forma de que aprendan), lo que no puedes tener es a juniors haciendo lo que buenamente entiendan sin supervisión.
#52:
Para cualquiera que haya visto o confeccionado un presupuesto de un desarrollo en "el mundo real", este proyecto es un robo que debería ser investigado directamente por la fiscalía. Veamos:
- Consultor: 850 horas, lo que son 21 semanas, es decir, más de 4 meses SIN PARAR consultando.
- Jefe de proyecto: un 20% de las horas del desarrollador, es un valor automático que se pone para, en teoría, hacer de proxy entre cliente y el equipo de desarrolladores.
- Arquitecto de sistemas: 10 semanas para diseñar los servidores, más de 2 meses SIN PARAR, ¿qué estaban desplegando?
- Técnico de sistemas y BBDD: 2 semanas para montar los servidores y las bases de datos, esto se parece a la realidad (porque el arquitecto de sistemas habrá currado 1 día como mucho y seguro que este chaval lo ha hecho todo)
- Analista funcional, ¿17 semanas SIN PARAR describiendo las funcionalidades de la aplicación???
- Analista programador (desarrollador júnior): 77 semanas de esfuerzo para este tipo de aplicación??? Más de 1 año de horas/hombre????
Es increíble
- Consultor: 850 horas, lo que son 21 semanas, es decir, más de 4 meses SIN PARAR consultando.
- Jefe de proyecto: un 20% de las horas del desarrollador, es un valor automático que se pone para, en teoría, hacer de proxy entre cliente y el equipo de desarrolladores.
- Arquitecto de sistemas: 10 semanas para diseñar los servidores, más de 2 meses SIN PARAR, ¿qué estaban desplegando?
- Técnico de sistemas y BBDD: 2 semanas para montar los servidores y las bases de datos, esto se parece a la realidad (porque el arquitecto de sistemas habrá currado 1 día como mucho y seguro que este chaval lo ha hecho todo)
- Analista funcional, ¿17 semanas SIN PARAR describiendo las funcionalidades de la aplicación???
- Analista programador (desarrollador júnior): 77 semanas de esfuerzo para este tipo de aplicación??? Más de 1 año de horas/hombre????
Es increíble
#54:
#24 La culpa no es del sector privado ni del público, es de los individuos específicos involucrados. Las corruptelas también se dan en el entorno privado, así como la incompetencia.
Por otro lado, #1, a veces no tiene sentido internalizar ciertos servicios como públicos, porque probablemente no habría suficiente volumen de trabajo.
Ahora, volviendo al asunto del desastre... está claro que hubo negligencia... sin embargo me cuidaría de señalar con el dedo al becario de turno que metió la gamba. Esto ha sucedido por un encadenamiento de errores e imprevistos (y no un solo error), así que es algo "cultural" dentro del departamento que produjo esa web, o incluso a nivel de empresa (pero por mucho que detestemos a Ayuso, no es achacable a su equipo; otra cosa son los costes).
El sector informático está tristemente desregulado (y esa desregulación no es cosa de Ayuso, afecta a casi todo el planeta); exceptuando la GDPR y otras normativas que tocan "tangencialmente" nuestro ámbito, podemos hacer lo que nos salga de la polla, y casi nunca sufriremos consecuencias legales por ello (pero tampoco estaremos protegidos cuando sea justo disponer de esa protección).
Para quien esté interesado, hay un artículo de opinión sobre este asunto (el de la "profesionalidad" desde el punto de vista legal en el ámbito informático) en Communications of ACM, aunque no es de acceso libre: https://dl.acm.org/doi/10.1145/3457193 .
Por otro lado, #1, a veces no tiene sentido internalizar ciertos servicios como públicos, porque probablemente no habría suficiente volumen de trabajo.
Ahora, volviendo al asunto del desastre... está claro que hubo negligencia... sin embargo me cuidaría de señalar con el dedo al becario de turno que metió la gamba. Esto ha sucedido por un encadenamiento de errores e imprevistos (y no un solo error), así que es algo "cultural" dentro del departamento que produjo esa web, o incluso a nivel de empresa (pero por mucho que detestemos a Ayuso, no es achacable a su equipo; otra cosa son los costes).
El sector informático está tristemente desregulado (y esa desregulación no es cosa de Ayuso, afecta a casi todo el planeta); exceptuando la GDPR y otras normativas que tocan "tangencialmente" nuestro ámbito, podemos hacer lo que nos salga de la polla, y casi nunca sufriremos consecuencias legales por ello (pero tampoco estaremos protegidos cuando sea justo disponer de esa protección).
Para quien esté interesado, hay un artículo de opinión sobre este asunto (el de la "profesionalidad" desde el punto de vista legal en el ámbito informático) en Communications of ACM, aunque no es de acceso libre: https://dl.acm.org/doi/10.1145/3457193 .
#117:
# 78
Me da que esos 26€ por hora del analista programador ha sido divididos entre más gente, que desde luego han cobrando menos de lo estipulado.
Bienvenido al curso de gestión moderna.
De esos 26 euros hora debe salir:
- El sueldo de la persona.
- Cotizaciones sociales de la misma.
- El coste de su puesto de trabajo.
- El "overhead" (todos los jefes, edificios, servicios asociados)
- El margen de la empresa.
Al final ¿cual es el truco para que salgan las cuentas? Que dices que echar 100 horas y en realidad son 40. Como aquí los "genios económicos" solo miran el coste hora, lo demás, cuela.
Y eso lo sabe tanto el que contrata como el contratado, que aunque lo parezcamos, no somos gilipollas del todo.
CC #52
Me da que esos 26€ por hora del analista programador ha sido divididos entre más gente, que desde luego han cobrando menos de lo estipulado.
Bienvenido al curso de gestión moderna.
De esos 26 euros hora debe salir:
- El sueldo de la persona.
- Cotizaciones sociales de la misma.
- El coste de su puesto de trabajo.
- El "overhead" (todos los jefes, edificios, servicios asociados)
- El margen de la empresa.
Al final ¿cual es el truco para que salgan las cuentas? Que dices que echar 100 horas y en realidad son 40. Como aquí los "genios económicos" solo miran el coste hora, lo demás, cuela.
Y eso lo sabe tanto el que contrata como el contratado, que aunque lo parezcamos, no somos gilipollas del todo.
CC #52
#2:
Resumen:
Telemadrid paga 225000€ a Indra, que a su vez subcontrata a la empresa Ñapasmas por 100000€, que a su vez contratan un año a un fulano que "me han dicho que sabe de esto, y tal..." por 900€/mes.
Telemadrid paga 225000€ a Indra, que a su vez subcontrata a la empresa Ñapasmas por 100000€, que a su vez contratan un año a un fulano que "me han dicho que sabe de esto, y tal..." por 900€/mes.
#18:
Ponen a novatos a gestionar datos tan delicados? ah bueno, claro, que el tema es pagar poco a los trabajadores y ganar mucho para la empresa.
#24:
#1 Lo que no es culpa del sector privado, sino del público y la manera que tienen de hacer corruptelas, dinamitar dinero, y otros derroches.
Si se le exigiera calidad a las empresas, penalizara el no cumplir lo acordado, se les pagara acorde a ello, y un largo etcétera de prácticas que no se hacen, y no hacerlas fomenta el pésimo modelo que tenemos actualmente, otro gallo cantaría.
Si se le exigiera calidad a las empresas, penalizara el no cumplir lo acordado, se les pagara acorde a ello, y un largo etcétera de prácticas que no se hacen, y no hacerlas fomenta el pésimo modelo que tenemos actualmente, otro gallo cantaría.
#42:
A ver, esto es una cagada supina. Y no se la endosemos a los becarios, si no a todo el puto equipo de desarrollo.
Problema uno: los analistas, joder no se les puede pasar este requisito.
Problema dos: el equipo de desarrollo. Hay diezmil formas de filtrar esto correctamente, en Java está el JsonView de Jackson por ejemplo. O diferentes respuestas en llamadas a la API pública y privada/internal.
Problema tres: QA/Testing es imposible que se pase esto por alto.
Supongo que habrá quién diga que se pasó sin QA. En la propia noticia dicen que se detectó en producción por el equipo de QA. En producción, toma ya.
Marca Indra, seamos sinceros. Habrán hecho el microservicio en 2 días, a correr y con un testeo de funciona. Y bueno, ya es mejor no analizar la respuesta JSON, que es súper súper lógica y eficiente.
Problema uno: los analistas, joder no se les puede pasar este requisito.
Problema dos: el equipo de desarrollo. Hay diezmil formas de filtrar esto correctamente, en Java está el JsonView de Jackson por ejemplo. O diferentes respuestas en llamadas a la API pública y privada/internal.
Problema tres: QA/Testing es imposible que se pase esto por alto.
Supongo que habrá quién diga que se pasó sin QA. En la propia noticia dicen que se detectó en producción por el equipo de QA. En producción, toma ya.
Marca Indra, seamos sinceros. Habrán hecho el microservicio en 2 días, a correr y con un testeo de funciona. Y bueno, ya es mejor no analizar la respuesta JSON, que es súper súper lógica y eficiente.
#17:
El error no es del novato. Es de toda su cadena de jefes, que para eso lo cobran.
#44:
#16 yo soy responsable de seguridad de una empresa, y he trabajado muchos años en consultorías varias, más grandes y más pequeñas… esto es una cagada básica y el proyecto está más que inflado de horas. El programa era una Api guarrera que no tenia ni un token configurado…. Lo peor de todo, es que cuando intentamos el resto de los morrales trabajar con Madrid Digital (la empresa de la CAM dedicada a la informática) nos achuchan por todo, horas precio, seguridad…. Son unos sin vergüenza
Comentarios
No hay mejor que privatizarlo todo para que nada salga del todo bien.
Si no subcontrataran en cascada y tuvieran personal informático estable y especializado tal vez los resultados no fueran tan nefastos. Pero hay que maximizar beneficios a base de explotación, bajos costes y rapidez.
#8 Fue la Comunidad de Madrid la que dijo que esta noticia era falsa.
Y al frente de la Comunidad de Madrid está, oh, casualidad, IDA.
#18 Home meu, seamos sinceros, una app para gestion de citas no debería ser precisamente un reto intelectual tan grandioso que necesitases a los mas brillantes desarrolladores de silicon valley pa picarla, hay un par de requisitos y poco mas.
La noticia es q ese par de requisitos se los han saltado, y se los han saltado en cascada (el de la toma de requerimientos (que igual ni lo consideraron), el becario que lo picó, su responsable que debía haber revisado el código y a probar la UAT, el auditor de calidad, el jefe de proyecto...)
Puedes perfectamente tener a juniors haciendo aplicaciones simples (de hecho es la forma de que aprendan), lo que no puedes tener es a juniors haciendo lo que buenamente entiendan sin supervisión.
#2 Telemadrid destapó el fallo, no pago nada, en todo caso pago la comunidad de Madrid. Has hecho el resumen mal con datos erróneo
#1 el problema es que le vendas al cliente por 40 euros la hora a un senior cuando estás poniendo a un junior para que tus beneficios suban por las nubes y es lo que está pasando
Resumen:
Telemadrid paga 225000€ a Indra, que a su vez subcontrata a la empresa Ñapasmas por 100000€, que a su vez contratan un año a un fulano que "me han dicho que sabe de esto, y tal..." por 900€/mes.
Para cualquiera que haya visto o confeccionado un presupuesto de un desarrollo en "el mundo real", este proyecto es un robo que debería ser investigado directamente por la fiscalía. Veamos:
- Consultor: 850 horas, lo que son 21 semanas, es decir, más de 4 meses SIN PARAR consultando.
- Jefe de proyecto: un 20% de las horas del desarrollador, es un valor automático que se pone para, en teoría, hacer de proxy entre cliente y el equipo de desarrolladores.
- Arquitecto de sistemas: 10 semanas para diseñar los servidores, más de 2 meses SIN PARAR, ¿qué estaban desplegando?
- Técnico de sistemas y BBDD: 2 semanas para montar los servidores y las bases de datos, esto se parece a la realidad (porque el arquitecto de sistemas habrá currado 1 día como mucho y seguro que este chaval lo ha hecho todo)
- Analista funcional, ¿17 semanas SIN PARAR describiendo las funcionalidades de la aplicación???
- Analista programador (desarrollador júnior): 77 semanas de esfuerzo para este tipo de aplicación??? Más de 1 año de horas/hombre????
Es increíble
Ponen a novatos a gestionar datos tan delicados? ah bueno, claro, que el tema es pagar poco a los trabajadores y ganar mucho para la empresa.
#54 Y el error será de novato, pero la falta de control de calidad es muy senior.
El error no es del novato. Es de toda su cadena de jefes, que para eso lo cobran.
#24 La culpa no es del sector privado ni del público, es de los individuos específicos involucrados. Las corruptelas también se dan en el entorno privado, así como la incompetencia.
Por otro lado, #1, a veces no tiene sentido internalizar ciertos servicios como públicos, porque probablemente no habría suficiente volumen de trabajo.
Ahora, volviendo al asunto del desastre... está claro que hubo negligencia... sin embargo me cuidaría de señalar con el dedo al becario de turno que metió la gamba. Esto ha sucedido por un encadenamiento de errores e imprevistos (y no un solo error), así que es algo "cultural" dentro del departamento que produjo esa web, o incluso a nivel de empresa (pero por mucho que detestemos a Ayuso, no es achacable a su equipo; otra cosa son los costes).
El sector informático está tristemente desregulado (y esa desregulación no es cosa de Ayuso, afecta a casi todo el planeta); exceptuando la GDPR y otras normativas que tocan "tangencialmente" nuestro ámbito, podemos hacer lo que nos salga de la polla, y casi nunca sufriremos consecuencias legales por ello (pero tampoco estaremos protegidos cuando sea justo disponer de esa protección).
Para quien esté interesado, hay un artículo de opinión sobre este asunto (el de la "profesionalidad" desde el punto de vista legal en el ámbito informático) en Communications of ACM, aunque no es de acceso libre: https://dl.acm.org/doi/10.1145/3457193 .
#4 Correcto. He escrito Telemadrid, y es la CAM. Perdón.
#1 Lo que no es culpa del sector privado, sino del público y la manera que tienen de hacer corruptelas, dinamitar dinero, y otros derroches.
Si se le exigiera calidad a las empresas, penalizara el no cumplir lo acordado, se les pagara acorde a ello, y un largo etcétera de prácticas que no se hacen, y no hacerlas fomenta el pésimo modelo que tenemos actualmente, otro gallo cantaría.
#8 Tampoco ha construido ella el Zendal pero bien que sale en las fotos no?
#13 Eres el mismísimo "El cuervo", volviendo a la vida para vengarte de tus asesinos
#23 si la aplicación tiene acceso a datos que no necesita el problema básico es de diseño, no de programación.
El software tiene bugs. Siempre.
Se lo adjudicó sin concurso a Indra el 3 de junio empleando el procedimiento de urgencia.No me diga usted más... un cuarto de millón de euros para unas "chusquillas" que al final hace un becario... alguien se lo ha llevado calentito, como antes. Al menos antes hacían depósito en la caja B, ahora ¿qué harán?
A ver, esto es una cagada supina. Y no se la endosemos a los becarios, si no a todo el puto equipo de desarrollo.
Problema uno: los analistas, joder no se les puede pasar este requisito.
Problema dos: el equipo de desarrollo. Hay diezmil formas de filtrar esto correctamente, en Java está el JsonView de Jackson por ejemplo. O diferentes respuestas en llamadas a la API pública y privada/internal.
Problema tres: QA/Testing es imposible que se pase esto por alto.
Supongo que habrá quién diga que se pasó sin QA. En la propia noticia dicen que se detectó en producción por el equipo de QA. En producción, toma ya.
Marca Indra, seamos sinceros. Habrán hecho el microservicio en 2 días, a correr y con un testeo de funciona. Y bueno, ya es mejor no analizar la respuesta JSON, que es súper súper lógica y eficiente.
#18 y hacerlo en tres semanas cuando el contrato dice 3 meses, eso también es importante
#20 ¿Quién hizo en contrato de mantenimiento informático del SEPE?
Igual te llevas una sorpresa.
#31 40 euros la hora?
Muy barato compras...
#6 Bueno, ahora que Ayuso se ha hecho con el control, no habrá mucha diferencia entre lo que digan una y otra.
#8 Pero luego revientan continuadamente la web del sepe y no verás que nadie mente a la Yoli.
Es el doble rasero de la nueva política. El mismo que el de la vieja política pero con una dosis extra de superioridad moral.
#1 El problema aquí, más que la privatización, es la cultura cárnica de la consultoría y la sucontración. Donde los resultados los miran sólo en euros y no en calidad.
#2 "Tú contrata a este amigo de mi sobrino de becario, que le prometemos ficharle de indefinido al finalizar el proyecto"
# 78
Me da que esos 26€ por hora del analista programador ha sido divididos entre más gente, que desde luego han cobrando menos de lo estipulado.
Bienvenido al curso de gestión moderna.
De esos 26 euros hora debe salir:
- El sueldo de la persona.
- Cotizaciones sociales de la misma.
- El coste de su puesto de trabajo.
- El "overhead" (todos los jefes, edificios, servicios asociados)
- El margen de la empresa.
Al final ¿cual es el truco para que salgan las cuentas? Que dices que echar 100 horas y en realidad son 40. Como aquí los "genios económicos" solo miran el coste hora, lo demás, cuela.
Y eso lo sabe tanto el que contrata como el contratado, que aunque lo parezcamos, no somos gilipollas del todo.
CC #52
#57 Los precios no son tan locos, el problema es el desglose, el cómo se reparten... consultor + arquitecto + jefe de proyecto + 2 "analistas" (que serán programadores juniors y ya, y de analistas nada)... tela, casi hay más "pseudo-jefes" que programadores.
#16 yo soy responsable de seguridad de una empresa, y he trabajado muchos años en consultorías varias, más grandes y más pequeñas… esto es una cagada básica y el proyecto está más que inflado de horas. El programa era una Api guarrera que no tenia ni un token configurado…. Lo peor de todo, es que cuando intentamos el resto de los morrales trabajar con Madrid Digital (la empresa de la CAM dedicada a la informática) nos achuchan por todo, horas precio, seguridad…. Son unos sin vergüenza
#1 o estaríamos aún haciendo CGIs en perl porque es lo que se ha hecho toda la vida y ahora no me lo vas a cambiar. Y te esperas que acabo de llegar pero es mi hora del bocadillo y no me exijas rendimiento o te acusaré de querer privatizar
#2 Telemadrid ha contratado a Indra? ay que me LOL, maricón.
A ver, es un error tan burdo, tan evidente, que no es jurídicamente sancionable.
Doctrina Monasterios
Los pelotazos de las grandes empresas: cobran como senior lo que debería ser un junior. Lo mejor? Que después de las cagadas nadie pide explicaciones. Es un negocio redondo.
A mí lo que me deja asustado es una cosa que se le escapó a Escudero en las primeras declaraciones, y es la culpa era de que había una nueva versión, que se había pasado a producción, y que antes de subir había pasado la cadena de testing.
¿Qué clase de testing hacen que no son capaces de detectar algo así?
El problema no es que haya un error (siempre puede haberlo), sino que no tienen ninguna infrastructura ni filtro para que esos errores no lleguen a producción.
#85 Alguien en Indra se está descojonando con tu comentario. Los responsables se irán a comer una mariscada este fin de semana y el lunes es posible que despidan a uno o dos becarios.
#54 CC #63 #86 Os cito para explicar por qué me refiero en concreto al sector público y no al privado.
Tenéis razón en que el sector privado puede tener perfectamente este problema, eso es cierto.
Pero el problema es que el sector público normalmente no corrige estos defectos hasta que es inevitable, además, nunca penaliza a las empresas que cometen estos errores porque sería "injusto" para un futuro penalizar todos los contratos con ellos.
Indra en concreto, ya hemos visto varias cagadas de ellos, y ahí siguen, detrás de muchísima parte del software público del país.
El sector privado lo tiene más fácil porque se adapta mejor a este tipo de cosas y filtra mucho mejor a los malos y a los buenos. Una empresa no podría sobrevivir alimentándose del sector privado durante 30 años si sus prácticas son malas, pero sí puede hacerlo del público.
Y es verdad que la cagada es de Indra, pero es el propio modelo que impulsa el sector público que fomenta que haya estas cagadas. Concursos con muy poco presupuesto, no examinar y evaluar los resultados, no exigir una calidad de producto mínima, etc...
Es el clásico ejemplo de "paga con cacahuetes y contratarás monos", pero llevado al sector público. Un portal para obtener certificados COVID necesita un nivel de seguridad crítico, y eso hay que pagarlo. Es un proyecto de un par de millones de euros. Por supuesto pagar más también implicar exigir una calidad final, que tampoco se hace.
#21 Seguramente tenga los avales y garantías contractuales necesarias. Además de haber ofrecido la oferta más competitiva, teniendo en cuenta estos criterios.
Pero también existe la posibilidad de que la empresa tenga en plantilla a los amigos ( expoliticastros y familiares varios) necesarios para adjudicarse todos los proyectos de la administración habidos y por haber.
De hecho, este último criterio es el que con toda seguridad, les de el 100% de las posibilidades de llevarse el projecto.
Para ser precisos
#93 Entiendo lo que dices pero no estoy de acuerdo. 300K para un portal que básicamente expone UN servicio a internet debería ser mas que suficiente. No hacen falta 2M para contratar a un super guru de la seguridad y un ejercito de seniors. Con 300K te sobra para pagar a un buen ingeniero y un par de desarrolladores con pelos en los huevos/coño. Pero claro, si pones becarios pues pasa lo que pasa.
Y repito que en el sector privado pasa lo MISMO. He estado 10+ años en consultoria y he visto mierdas enormes de todos los colores. Mierdas hechas para Enagas, Canal de Isabel II, Metro de Madrid, bancos pequeños, medianos y gigantes, Ferrovial, Acciona, Prosegur, Securitas, Telefonica, Vodafone, empresas de autobuses... Y en algunos casos yo era el becario mal pagado con pocos conocimientos haciendo mierdas sin nadie guiandome. Y no pasan mas cosas porque muchas mierdas son internas y no estan de cara al publico. Y muchas de las que estan no son criticas. Pero claro, en cuanto aplicas lo mismo a algo relacionado con la sanidad o que trata datos personales y encima abierto a internet... pues pasa esto.
#34 Ahhhh por eso yo ahora soy un oompa loompa de cliente final, viernes de Julio, la mitad de mis usuarios de vacaciones y yo aqui que tengo q estar despierto y de guardia pero rascandome el hueval
#38 El caso es que aqui hay una cascada de errores cojonuda porque vale, te compro que el problema venga desde diseño (a saber donde se tiene que integrar esto para que tuviese acceso a estas mierdas) pero a partir de ahi.... ¿No habia mas ojos que se diesen cuenta de que igual, la estaban cagando? Y no ojos de junior, ojos con los huevos pelaos de desplegar aplicativos....
No se muy facil levantamos la mano a "es que era un crio y le pagan poco" y joer, los crios aprenden currando y eso lo hemos pasado todos, aquii la cagada gorda es que los crios no aprenden currando solos, solos ni de puta coña y ahí si esta la cagada
#40 Aquí está el desglose de precios (acordado en el contrato, seguramente no sea el real, como indican #51 y #31
) para el proyecto en cuestión
#1 Estoy de acuerdo pero, sinceramente, si una empresa del montón que se especializa en crear código para terceros tiene un error de este estilo (y no es la primera vez que pasa con Indra), nadie con dos dedos de frente les contrataría para hacer nada más, especialmente no por 200k ni con algo tan grande e importante como esto. El problema debe de ser los chanchullos que hay para que Indra acabe siendo contratada por la mitad de los gobiernos de España para seguir haciendo las webs más horrorosas, inseguras y rotas de España.
Es que joder, soy ingeniero informático y no soy uno de esos "expertos en seguridad" que cita la noticia, pero el error que comentan es lo más básico del mundo. Trabajo en una empresa pequeña y si llego a crear un "endpoint" abierto al mundo sin ningún tipo de seguridad, alguien me diría algo. Y somos 3 personas en el proyecto. No entiendo el proceso que tienen para que alguien la cague en algo tan obvio, nadie en la PR se dé cuenta, ningún tester lo haya detectado ni, cuando estás preparado para entregar el proyecto, ninguno de los involucrados se le haya venido a la cabeza el tema de autorización. Es que no puede ser. El hecho de que una empresa tan grande y con tanto presupuesto haya puesto esto en producción significa que: o ninguna de las personas involucradas en el proyecto sabe lo más básico sobre seguridad o, literalmente, se las suda y nadie mira nada antes de entregárselo al cliente. Tanto una como otra serían suficientes razones para que Indra no vuelva a tocar código público en su vida.
#62 eso es lo que venía a decir yo. Si son tan pocos lo que dan el coñazo con la seguridad, que muchas veces te denuncian 200 vulnerabilidades de las que desestimas 199 por que en realidad no aplicaban, que se preocupen de que antes de poner algo en producción, en los pliegos venga presupuestado las pruebas de calidad, hacking etc. Ahora la culpa va a ser del chaval que haya pringado, no te jode.
#35 El máximo responsable es el que contrata y recepciona un producto sin la calidad suficiente. Y puede que sea Yolanda Díaz, o no.
Este artículo habla del un contrato de un producto con chapuzas a nivel muy básico.
Si la prensa de derechas no se le ha echado encima ayolanda Díaz por lo del SEPE es porque prefieren callar. Si tienen munición y no la usan es porque igual les explota encima.
De todas formas. Si ya interesado estás, no creo que sea muy difícil buscar quién es el responsable del contrato de mantenimiento del SEPE.
Puedes darnos una exclusiva.
#91 Es que seran pocos, pero los buenos de verdad son menos... la de batallas que tengo yo cada semana con el equipo de "ciberseguridad" de la empresa porque el scanner de Azure ha detectado que algunas maquinas linux no tienen algunos parametros en ficheros de configuración de algunos servicios, cuando dichos servicios no estan corriendo...
#23 Ay fill meu, si yo te contase la de tiquets que tengo hoy pendientes en la columna UAT de Jira..... jajajaja me da pereza solo de verlo. Viernes de QA.
#32 Ahí le has dado. Necesitaríamos tener todos instalado iexplorer 5.5 y máquina virtual de java 1.4.10 para poder operar con la administración.
#4 es que ha subcontratado a un negro para q le escriba el comentario. Como Ana Rosa
LOL me parto con esa tabla de importes. En mis años trabajando en Indra NUNCA trabajé con un arquitecto. En todos los proyectos decidía yo la solución técnica a todos los niveles, desde el día que entré acabado de salir de la uni. El jefe de proyecto, el funcional y el consultor normalmente eran la misma persona.
Surprise motherfucker
#52 Esto será como siempre... o regalito a dedo, o concurso para el que piden un aval de la hostia que solo se pueden permitir Indra o cárnicas de tamaño parecido. Entre ellas pactan a cuales presentarse y se reparten el pastel.
Después, además de lo que cuentas, sobrecostes por plazos no cumplidos, mantenimiento para arreglar chapuzas, etc. Un chollo de pasta gansa que pagamos todos.
Cualquiera que haya trabajado para una consultora grande sabe que el codigo lo pican los juniors y a cliente se le facturan seniors.
Esto es el pan de cada dia.
#77 En este caso, es obvio que no. Sin embargo, en TODAS las empresas en las que yo he estado desde el año 2000, no hacer el testing no era una opción. Si el proyecto era interno se hacía, y si era externo, se hacía también lo pagara el cliente o no (y si no lo quería pagar o no se le daba opción o se le cobraba por otro lado). Con ello quiero decir que menuda "empresa" que se ha buscado la CAM.
#34 unidad anti terrorista? Karmo Bauer?
#43 las certificaciones no garantizan nada, salvo que (como empresa) eres conocedor de los requisitos de esas certificaciones.
De hecho, para pasar las certificaciones se pone al frente a los más seniors, pero luego esa información, protocolos o requisitos nunca llegan a los equipos.
#54 "Por otro lado, #1, a veces no tiene sentido internalizar ciertos servicios como públicos, porque probablemente no habría suficiente volumen de trabajo."
No soy #1 pero te puedo decir que el problema es que no hay forma de "internalizarlo", ahora mismo no hay otra forma de contratar personal no funcionario que no sea a través de pliegos a subcontratas.
Y eso que Indra maneja cositas militares que espero gestione un poco mejor. Sobre todo las que vuelan
#38 Been there, done that:
-Hay que sacar los datos de las tablas A y B.
+Vale, que columnas?
-No se... todas?
+Pos fale.
#42 La seguridad informática son los padres.
A los analistas se les pasa el requisito porque, en el mejor de los casos, son analistas de negocio que no tienen ni puta idea de requisitos no funcionales como seguridad o rendimiento. Eso cuando no son chavales con ~2 años de experiencia que tampoco tienen ni idea del negocio (HIPAA y GDPR son los padres también).
El equipo de desarrollo son chavales con ~1 año de experiencia que están aprendiendo a ostias el lenguaje de programación que se este usando en el proyecto.
NO HAY QA. NUNCA HAY QA. En 10+ años en consultoría he estado en la friolera de DOS proyectos con gente especifica para QA y testing. Los tests los hacen los mismos desarrolladores. Y claro, no tienen ni puta idea y el hijo de uno nunca es feo.
Respecto a lo que dicen de que se detecto por el equipo de QA, ya te digo yo que mienten. Quieren decir que cuando les dijeron lo que había dicho Telemadrid, alguien entro a mirar y efectivamente vio que era así.
#133 que la ley no sea perfecta no significa que no se deba cumplir. En cualquier caso, en lo que se refiere al desarrollo de aplicaciones, el ENS dice:
a) El desarrollo de aplicaciones se realizará sobre un sistema diferente y separado del de producción, no debiendo existir herramientas o datos de desarrollo en el entorno de producción.
b) Se aplicará una metodología de desarrollo reconocida que:
1.º Tome en consideración los aspectos de seguridad a lo largo de todo el ciclo de vida.
2.º Trate específicamente los datos usados en pruebas.
3.º Permita la inspección del código fuente.
4.º Incluya normas de programación segura.
c) Los siguientes elementos serán parte integral del diseño del sistema:
1.º Los mecanismos de identificación y autenticación.
2.º Los mecanismos de protección de la información tratada.
3.º La generación y tratamiento de pistas de auditoría.
d) Las pruebas anteriores a la implantación o modificación de los sistemas de información no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
Las medidas anteriores aplicarían a aquellos datos a los que se deba aplicar un nivel de protección medio. Entiendo que, al incluir incluirse información relevante de altas personalidades del Estado se debería aplicar un nivel alto.
En cuanto a la aceptación y puesta en servicio de las aplicaciones dice:
Categoría BÁSICA
Antes de pasar a producción se comprobará el correcto funcionamiento de la aplicación.
a) Se comprobará que:
1.º Se cumplen los criterios de aceptación en materia de seguridad.
2.º No se deteriora la seguridad de otros componentes del servicio.
b) Las pruebas se realizarán en un entorno aislado (pre-producción).
c) Las pruebas de aceptación no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
Categoría MEDIA
Se realizarán las siguientes inspecciones previas a la entrada en servicio:
a) Análisis de vulnerabilidades.
b) Pruebas de penetración.
Categoría ALTA
Se realizarán las siguientes inspecciones previas a la entrada en servicio:
a) Análisis de coherencia en la integración en los procesos.
b) Se considerará la oportunidad de realizar una auditoría de código fuente.
Creo que, únicamente aplicando un nivel medio ya deberían haber salido las vulnerabilidades a las que se hace referencia en el artículo, además, la redacción de la ley es lo suficientemente ambigua como para incluir los puntos que has indicado. Creo que en este caso simplemente no se ha cumplido la ley, aunque no me he leído los pliegos de la licitación ni las ofertas si que aparece en los comentarios de esta noticia el desglose de los costes que se han pagado. No he visto por ningún sitio el concepto de auditoría de seguridad ni de análisis de vulnerabilidades o pruebas de penetración, solo con que se hubiera hecho eso antes de la puesta en funcionamiento seguramente hubiera saltado la liebre.
#2 Telemadrid no tiene nada que ver con esta historia.
#2 Es el típico NaaS
Ñapa as a Service
#74 Se vende el testing, se factura el testing, no se hace testing, de ningun tipo, ni unitario ni de integracion ni de seguridad.
Todos estos fallos los debe corregir la consultora gratis, de forma que para otra vez le interese poner menos juniors y más gente que saque el trabajo con más solidez.
#54
Esto ha sucedido por un encadenamiento de errores e imprevistos (y no un solo error)
El error re tigo yo cual ha sido: recorta, recorta, recorta, recorta qaue hay que entrar en ese precio.
¿Y de dónde recortas? De lo menos agradecido, de pruebas, soporte, seguridad ... todo lo que "no se vé" pero que es importante, sobre todo, cuando pasan cosas como estas.
#1 Claro pero en el mundo de la informática, es bastante frecuente que los trabajadores queden desactualizados y muchas veces es imposible reciclarlos, ¿que haces con ellos en este momento si fuesen funcionarios? Despedirlos no puedes.
#172 Lamentablemente es como dices.
#8 La web es de la Consejería de Sanidad, no del SERMAS.
El SERMAS es un organismo autónomo con capacidad de contratación, la Consejería de Sanidad no, contrata a través de la Comunidad de Madrid. El responsable de este contrato de emergencia es, como no podría ser de otra manera, el presidente de la Comunidad de Madrid.
Rodearse de asesores cuyo único interés es el lucro personal también es responsabilidad de Ayuso.
#17 El problema es que no hubiera pasado un control de calidad. Estas cosas normalmente son auditadas desde otro departamento, en muchos casos de otra empresa, que precisamente lo primero que comprueba son cosas de estas.
El error no es la persona que lo programó, sino la que lo dirigió sin incluir un control de calidad que incluyera seguridad.
#85 hombre, unos trabajos que la administración de turno ha considerado aptos para ser puestos en producción ... al menos es dudoso exigir que se arregle. Otra cosa es que en el contrato se hayan especificado unas garantías.
Tampoco creo que sea un problema de juniors. Es un problema estructural del sector de consultoría.
#51 10 senior = 3 senior + 4 juniors + 1 becario. Nunca suman 10.
#2 "La multinacional Indra) ha reconocido la existencia del fallo pero ha rehusado dar cualquier explicación al respecto, derivando toda comunicación sobre lo sucedido a los portavoces de la Comunidad de Madrid.
Fuentes de la Consejería de Sanidad han explicado que "la incidencia ha venido ocasionada por la subida de una actualización que pasó los protocolos de pruebas", pero que "en el proceso de puesta en marcha generó una brecha".
La Comunidad de Madrid y en particular la consejería de Sanidad es la responsable del pifostio.
Además (y por suerte, esperemos)
"La Agencia Española de Protección de Datos (AEPD) ha abierto este jueves una investigación sobre la brecha de seguridad que afectó ayer al portal para obtener el certificado COVID de la Comunidad de Madrid, han confirmado fuentes del organismo a este medio.
La implicación de Indra en la brecha es relevante a efectos de la futura resolución de la AEPD, puesto que este organismo no puede imponer multas económicas a las administraciones públicas aunque encuentre que ha existido dejación de responsabilidades en la protección de los datos personales de los ciudadanos. Sí puede hacerlo, en cambio, si encuentra esas mismas faltas en la actuación de una empresa privada como Indra."
#126 Entiendo que ellos validarían otras cosas, pero no el JSON que devuelve un microservicio. Me parece normal, eso es cosa de QA, otra cosa es que en QA hubiese un responsable de la CAM, pero entiendo que para eso pagan 225.000€, para que estos errores no sucedan.
#1 Si no nos quejamos ni actuamos ante las chapuzas, o ante la mala calidad china, o ante las mierdas que nos venden en alimentación, etc. pues tienen carta blanca para hacer lo que quieraaaaaaan
Y tanto a nivel de particulares como de empresas.
Se ha perdido el sentido de la exigencia de calidad.
#130 Lo que entiendo que sucedía es que tú podías hacer una petición a una API REST pasándole cualquier NIF y te daba la información sin ningún tipo de autorización (y no sé si autenticación).
#97
300K a precio de venta, son unos 3-4 hombres-año. Igual 5 si te vas a una empresa muy cutre.
Si todo está funcionando y la base está puesta, te alcanza para montar algunos servicios, pero como tengas que partir de cero, la cosa puede estar jodida. Y si encima expones a internet ... apaga y vámonos.
#117 eso es, en algunos concursos van limitados con el coste hora, pero no limitan las horas máximas, así que se crece por ahí.
Una puta vergüenza, vamos.
Pues sí que es eficiente subcontrar.
#54
Añado: la administración pública no está equipada para evaluar la idoneidad de una aplicación en cuanto a seguridad (o incluso para saber qué medidas son necesarias en primer lugar), así que poco puede hacer a priori, hasta que se destapa el marrón. Lo que hacen falta son regulaciones a nivel estatal o supraestatal que obliguen tanto a proveedor como a cliente a asegurarse de que ciertas medidas se cumplen.
#24 Justo en este tipo de casos no es así, o no solamente.
Fuera de que pueda ir a dedo la adjudicación, la empresa que se la lleva NO tiene a los profesionales en plantilla en gran parte de los casos y se pone a reclutar a toda pris. Y eso no es lo peor, otras veces lo que hacen es subcontratar a otras empresas (que también se llevan sus beneficios, por lo que queda menos $ para los trabajadores) que hacen lo mismo y como tienen menos margen suelen contratar a perfiles Junior y los hacen pasar por Senior.
Sé de casos con tres niveles de subcontratación. Además los gerentes de estas cárnicas tienen una actitud muy diferente frente al estado que frente a un cliente de la privada, lo ven como un saco sin fondo al que pueden sangrar y sangrar.
Pero sí, toooooda la culpa es del público, ¿el privado? Nada de nada hoyga, unos santos del liberalismo.
#21 Pues tiene todas las certificaciones.
#54 "a veces no tiene sentido internalizar ciertos servicios como públicos, porque probablemente no habría suficiente volumen de trabajo"
En seguridad informática SIEMPRE hay y habrá volumen de trabajo a todos los niveles.
#69 Bueno, hay un "analista" programador que se lleva toda la carga de trabajo. 3100 horas el muchachete (desde el 17 de mayo
)
#69 Añado a #71
Son 7 semanas (approx) desde ese 17 de mayo. Esas 3100 horas, salen a 442 horas por semana. .
Me da que esos 26€ por hora del analista programador ha sido dividido entre más gente, que desde luego han cobrando menos de lo estipulado.
Jajaj, que piratas de mierda esto de Indra.
Me da que #40, #51 y #31 van por el buen camino.
Menos mal que no me metí en informática para mi carrera laboral. Lo siento por aquellos que lo hayan escogido y tengan que ser sometidos a tal nivel de precariedad.
Esclavismo puro y duro, nivel marca España.
#82 Lo que seguro no falla es la cantidad de pasta ingresada por Indra.
#52 La misma conclusión que llego en #78
Esto es más ilegal que la madre que lo parió.
En un lugar decente esto provocaría no sólo dimisiones sino alguna sentencia de cárcel.
#57 Dejad de echar cuentas con los números y cargos que todos sabemos muy bien quien lo ha hecho y cuanto se le ha pagado.
Esto se a sub-sub-sub-sub-sub contratado a PericodelosPalotes IT Consulting. que coloca a picar código a 2 super juniors y un medio senior, por 800-1000e/mes junior y unos 1200/1500e/mes medio senior.
Los otros 210.000e restantes del coste se quedan por el camino en manos de amiguetes.
#98 No, pero está bien destacarlo con número oficiales.
Es como si tienes un vídeo de un soborno o una evidencia irrefutable de que la estafa y el engaño está ahí.
Acostumbramos mucho a hablar de supuestos y de cosas que "sabemos", pero sin aportar pruebas. Esto convierte lo que "sabemos" en simples supuestos que nadie va a dedicar tiempo si son ciertos o no, porque simplemente no hay pruebas.
Esta prueba es clarificadora y digna de presentarse en un juzgado. Recordemos que tenemos los datos personales de 11 millones de españoles a la vista de todo el mundo, sin ningún tipo de seguridad (casi lo de menos es que también los del rey y los de Sánchesz hayan estado al descubierto, si me apuras, viendo las dimensiones del asunto).
No dejemos de "hacer cuentas", destaquémosalas, repitámoslas para así evidenciar lo que todos "sabemos", pero esta vez con pruebas que cualquier fiscal utilizaría.
El siguiente paso es depurar responsabilidades en esta estafa (por mucho de urgencia que haya sido por tema Covid) y empezar a concretar dando nombres.
Ahí el personal (top managers) empezaría a acojonarse, y el feudo de la contratación a nivel esclavista, se minimizaría por lo menos algo en este país.
#1 En este caso, subcontratar tecnología está bien. Para un proyecto acotado, de 3 meses necesita especialidad y alguien con experiencia para sacarlo adelante. El problema es que se pague a Indra para esto y encima no aporte la seguridad y calidad que se espera.
Y por cierto, conociendo los precios de mercado de este tipo de proyecto, 225k es poco y una tarifa de 26€ la hora es bajísima. Al final, la CAM ha tenido un resultado acorde con lo que han pagado.
Coño, que bien de paga filtrar datos a lo loco. Me equivoqué de profesión.
#136 No sé si dentro de cárnicas entrará Indra.
Pero para mí Indra tiene cierto renombre.
Es una pena que en España sea tan usual este tipo de subcontrataciones para simplemente ahorrar pasta a costa del trabajo humano del último mono, para que el gerente de turno se lleve la mejor parte. Y que incluso empresas importantes en el país, hagan uso de este tipo de metodologías de contratación tan abusivas y poco profesionales.
Claro, luego las empresas que no están al nivel de projectos de Indra (y facilidad de entrar en el sector publico), pues se quejan de que no hay profesionales dispuestos a currar bajo sus nóminas.
Sólo faltaba, explotado y con sueldos de mierda, para que luego te echen al día siguiente de hacer la entrega del trabajo.
Sé otras consultora tipo Cap Gemini y alguna más, que van a ese nivel. No sé si Indra puede ser considerada mejor en el gremio.
Lo que sé, es en España el asunto está tan direccionado a quemar, frustar y eliminar cualquier motivación al especialista, que lo mejor es decidirse a irse a otro país para asegurarte que ganas pasta gansa (que no sé si es tu caso o estás en España, lo cual enhorabuena si es esto último (bueno, pseudoenhorabuena, que los ambientes de trabajo españoles son una mierda pinchada en un palo, ni cobrando una (igual 3 sí) pasta gansa aceptaría eso) )
#147 Pero el presupuesto final es el que es.
Si el analista programador en realidad son 10 personas, esos 26€/h serán en realidad 2,6€/h.
Entiendo.
#55 #32 Oye pues Mojolicious (Perl) con OpenBSD y tanto Perl como httpd bajo pledge y unveil serian preribles a ISS y w2k3.
#145 ¿Documentos de diseño?
Date por servido si hay un papel con cuatro líneas, o un documento con dos cajas dibujadas y tres líneas de descripción.
#89 Que al final se convierten en 31 porque la misma mierda de proyecto ya se lo han vendido seguro a otras comunidades.
#24 es lo que el pueblo vota.
#177 Estuve en un gran proyecto, de esos que funcionan a base de chapuzas inmensas y "más madera", donde ofrecí una recompensa a quien me presentara al diseñador/analista/... del mismo. Nunca nadie me dio un nombre, ni logré ver ningún documento de diseño que no fuera absoluta basura. Mi conclusión es que alguien hizo unos
diagramascirculitos en una servilleta en un bar, y ese era toda la documentación de diseño que se utilizó para generar cientos de miles de líneas de código.#12 Y mi abuela fuma, pero no sé qué tiene que ver eso ni con la noticia ni con mi comentario.
#28 No me digas, Aznar o George W Bush. Quizás fuera nuestro querido paquito, quién sabe. Aunque yo diría que la máxima responsable es nuestra querida Yolanda.
#33 El contrato es del SERMAS, así que ellos son los responsables del contrato.
¿De verdad crees que la responsabilidad de las decenas de miles de contratos que se hacen en la Comunidad de Madrid cada año es de su Presidente? En fin.
#62 Muy poco senior, dirás. No confundamos ser "senior" con mandar. La falta de control corresponde a los cargos directivos (sean estos de negocio o de ingeniería), pero no a los desarrolladores senior.
#31 Yo como freelance cobraba 65 la hora, sólo para mi, sin mandaos a mi cargo ni nadie por encima, y aun me decían que era demasiado barato...