Houbaa a écrit 191 commentaires

1 - trois mots : présomption d'innocence. Tu n'apportes aucune preuve.

2 - j'ai bossé au cœur du système statistique public (l'insee). le cœur est sain, en particulier les agents ont la déontologie du thermomètre aux tripes (France =! Grèce). Les acteurs, individuellement, peuvent être mauvais. C'est le problème de ces individus, et ça ne prouve rien sur la démarche statistique globale de l'état français

Vient faire du SAP ! Des technos du millénaire dernier ! Du bon ABAP et bon JAVA ringuard ! Du pseudo SQL ! Un client lourd avec plein de paramètres inmaîtrisables ! De la sécu comme on en faisait en 87 ! Des problématiques de déploiement insolubles ! Une ergonomie digne de la RDA !

Franchement, tu ne sais pas ce que tu manques. Le client lourd-serveur lourd, c'est l'avenir du passé.

Un seul mot : Trend Micro est l'antivirus du ministère. OK, vous comprenez, maintenant ?

J'ai travaillé plusieurs années dans la stat publique. Ce que tu décris n'y existe pas. Chez le manager médiocre moyen, là, oui, ça existe, mais ce n'est pas de la stat.

Donc ton attaque est gratuite.

1 - Chorus tient ses budgets. 1.1Mards d'euros provisionnés sur 5 ans. Au bout de 5 ans, 1Mard d'euros consommés. La cour n'est pas contente parce que Chorus n'implémente pas de compta analytique (ce n'était pas dans la cahier des charges !) et règle ses comptes (sic) avec la DGFiP. D'autre part, j'aimerais bien savoir en quoi c'est une usine à gaz. Chorus, ça n'est rien d'autre qu'une instance de SAP (oui, une seule, pour les dépenses militaires et les dépenses civiles réunies... peut-on faire mieux ?) avec un système d'échanges de flux Axway pour communiquer avec les applications de gestion des ministères.

Par contre, c'est vrai que l'enveloppe initiale était large, et que les SSI se sont bien gavées.

Ce qu'il y eu de compliqué et de coûteux dans Chorus, c'est

• le découpage du projet en 4 parties avec 4 sous-traitants différents, et les problèmes de gouvernance que ça a généré ("nan c'est pas à moi de la faire, c'est à Accenture/Sopra/Bull...) Rappelez-moi quel est le ministre du budget à consonance hongroise qui en 2004 a décidé ce découpage en 4 lots ?

• l'absence de bonne volonté de quelques ministères, qui refusent de tuer les applis remplacées par Chorus.

2 - Pour diminuer les coûts, on regroupe des trucs de façon à faire des économies d'échelle et de façon à grouper les achats au niveau d'un service achats puissant. Ca nécessite d'arrêter d'éparpiller les commandes auprès des sous-traitants... Donc éliminer les doublons. Est-il normal que la direction générale des finances publiques possède plus de 40 (putain, 40!) datacenters ? Est-il normal que chaque ministère ait sa propre PKI ? Est-il normal que chaque ministère rachète auprès du même éditeur la même solution de gestion de voyages et de frais de déplacement ? Est-il normal que plusieurs directions d'un même ministère achètent chacune son propre accès internet ?...

3 - Pour moi l'urba technique, c'est arriver à ce que dans un système d'informations, il n'y a qu'un composant qui rende un service donné. Les services peuvent être ceux de gestion des identités (annuaires), authentification, habilitation, gestion des référentiels métiers, échanges avec l'extérieur, ordonnancement, ...

Un exemple d'urbanisation à mener ? Facile, à date il n'existe même pas dans l'état un annuaire des agents de l'état. Intéressant, non ?

Les retours à la ligne, ça n'est pas bien grave, par contre, ta critique est formatée et générique, et on ne voit pas bien en quoi elle parle du cas de la DISI.

Ce que moi je vois sur le terrain - parce que j'y suis - c'est que N ministères se dont dotés chacun de N infra identiques, avec N prestataires en appui. D'où multiplication des équipes, de la formation, des marchés publics, absence d'économies d'échelles etc... Tout ça financé par... toi et moi.

La DISI n'aura pas pour rôle de mettre en place les briques en commun, mais se place si j'ai bien compris à un niveau de pilotage des stratégies des DSI de chaque ministère. Normalement on devrait donc échapper à la centralisation absurde que tu crains.

Sur l'aspect "comptable", oui, il ne faut pas se leurrer, l'un des objectifs de cette nouvelle structure, c'est de faire des économies. Personellement je trouve ça très bien. L'autre axe est l'urbanisation technique des différents SI ministériels, et je trouve ça très bien aussi, vu le bordel que je vois tous les jours.

Je vous le fais en deux minutes : jusqu'à présent chaque ministère avait sa propre démarche de système d'information séparée, ses propres orientations, ses propres projets, sa propre PKI, ses propres appli... Du coup il y a des doublons partout. Avec la DISI, on va pouvoir identifier les doublons et les éliminer.

J'imagine que tu as des arguments pour couvrir ton attaque gratuite ?

Deux ans que je bosse avec eux, et je n'ai toujours pas vu le rapport. Si j'ai bien compris, c'est un proxy qui sert à acheter du matériel IBM, mais plus cher qu'avec IBM.

Blague à part, Bull fabrique un disque dur chiffré appelé le GloBull. C'est une espèce de disque dur aux formes arrondies peint en... rouge. Le marketing, ça ne s'improvise pas.

Oui, Oracle sapucèpalibre. Si tu ne pars pas des base de la moule de linuxfr, comment veux-tu te faire entendre ?

Blague à part, dans un appel d'offre, on exprime un besoin, pas un produit.

Par exemple : " Nous avons besoin d'un logiciel compatible avec ma base de données existante sous Oracle. Dans le cas où le titulaire proposerait une autre solution, il précise les modalités d'adaptation dans son offre et prend en compte les coûts associés"

Et non : "La base de données du logiciel tourne nécessairement sous Oracle".

Au boulot (MINEFI) tous les échanges avec les partenaires du privés sont chiffrés dans des tunnels VPN IPSEC. Ca empêche par exemple que ton adresse personnelle et/ou ton RIB et ou ton adresse postale et/ou ta date de naissance ne passe en clair sur le net. Il faut qu'on arrête ?

EvalSMSI sert aux organismes qui implémentent la norme ISO27001. Ces organismes ont acheté la norme... Evidemment pour le particulier c'est inutile.

Assimiler les démarches SMSI et EBIOS à de la langue de bois, ça m'énerve et ça montre que la personne qui écrit ça considère que ce qu'elle ne connaît pas est forcément du pipeau. Donc elle ferait mieux de se taire.

quand on ne sait pas, on se tait.

merci à l'auteur des logiciels, ça va vraiment me rendre service...

Mouais... ça me choque aussi. Mais il faudrait regarder le détail de l'appel d'offres. Il est tout à faut possible d'externaliser à l'étranger la maintenance de l'applicatif (le code), et de garder les données dans l'entreprise. En général pour faire ça on laisse l'environnement de production aux mains de l'entreprise principale, et on se contente d'externaliser les environnements de qualification et de développement, qui ne contiennent pas les données sensibles. En tout cas c'est bien que les syndicats posent ces questions, ça ne peut qu'attirer l'attention de la CNIL.

Sans en dire trop (devoir de réserve...), à d'autres endroits de la fonction publique les choix ne sont pas du tout les mêmes en matière d'externalisation.

Il suffit de comparer la sécu de OpenSSL avec d'autres implémentations proprio comme IAIK. Ha non tiens ça marche pas :-) Et si en fait c'était les processus de revue de code et les contrôles qualité qui faisaient la sécu d'un produit plutôt que le libre/non-libre ?

Des tests d'intrusion internes, pour factualiser des vulnérabilités pressenties...

Impasse complète sur l'existant en France... Du bon dev externalisé par l'état français, ça passe par :

- une analyse de risques amont formalisée (selon la méthode EBIOS de la DCSSI/ANSSI en général)
- des spécifications claires en matière de sécurité qui en découlent
- un suivi rapproché de l'implémentation des specs par le prestataire (le "dossier de sécurité", que le prestataire remplit pour décrire la manière dont il répond aux exigences de sécu précisées dans les specs)
- une recette qui tient la route, avec une partie dédiée pour la recette des fonctions techniques
- de l'audit - architecture et recherche des vulnérabilités
- enfin une homologation du système par une autorité indépendante

En prime, pour les trucs vraiment sensibles, il est fait appel en priorité à des partenaires de confiance.

Faut pas croire, la France n'est pas en retard pour tout.

Mais c'est le vêtement de Chun Li, dans Street Fighter II, non ?

C'est pour cela qu'en Hongrie, Buddha peste.

et puis le coup de migration, c'est pire qu'un coup de tatane dans la face

Merci de prendre la relève... En général c'est moi qui fait remarquer ce léger souci quand les gentils messieurs de Codendi nous gratifient d'une dépêche sur leur beau produit (une dépêche tous les deux mois à peu près, non ?)

Bien sur on te répondra comme d'habitude : Codendi n'est pas distribué, il respecte donc la GPL. Et comme d'habitude je trouva ça affligeant.

/me remonte son menton

Effectivement, je ne vais pas retourner chez Free pour cela. 2 ans de procédures avec avocat pour résilier mon compte chez eux ça calme pour un moment.