security-1202344_1280 (1)

Bezpieczeństwo danych czyli Ład danych a Cyberbezpieczeństwo i jego regulacje

by with No Comment ArtykułyPowiązane z DMBOK WheelUncategorized

Zarządzanie bezpieczeństwem jest jednym z podstawowych zagadnień zarządzania danymi.

Konsekwencje utraty bezpieczeństwa informacji powodują bezpośrednie zakłócenia działalności oraz mogą wpłynąć na bezpieczeństwo kontrahentów i klientów, których dane są przetwarzane, a nawet mogą doprowadzić do likwidacji przedsiębiorstwa. Mogą spowodować straty finansowe poprzez konieczność usuwania uszkodzeń, utratę zysków lub nałożenie kar finansowych za niewystarczające zabezpieczenia.

Bezpieczeństwo informacji obejmuje różne rodzaje zagrożeń w tym celowe szkodliwe działania takie jak cyberataki, ale także błędy ludzkie, awarie, czynniki środowiskowe. Ogromna liczba zagadnień koniecznych do uwzględnienia przy wdrażaniu i stosowaniu zasad bezpieczeństwa informacji powoduje dużą trudność w zaplanowaniu działań. Z uwagi na tą rozległość dziedzinową stosuje się systemowe podejście do zarządzania bezpieczeństwem. System Zarządzania Bezpieczeństwem Informacji (SZBI) jak nazwa wskazuje koncentruje się na zarządzaniu, czyli określeniu ról, odpowiedzialności, zadań. SZBI ma wymiar formalny i praktyczny. Wymiar formalny poprzez konieczność zapewnienia zgodności z licznymi regulacjami (w szczególności przepisami prawa). Wymiar praktyczny poprzez faktyczną odporność na zagrożenia bezpieczeństwa informacji.

Zgodność z regulacjami

Rozpoczęcie prac nad SZBI wymaga wpierw zbadania czy w branży, którą zajmuje się organizacja istnieją regulacje prawne zawierające konkretne wymagania lub wskazania na standardy lub normy.

Według stanu na początek listopada 2025 r. na ukończeniu przygotowań jest nowelizacja Ustawy o krajowym systemie cyberbezpieczeństwa (KSC) ujednolicająca wymagania dla strategicznych branż m.in: energii, transportu, bankowości, ochrony zdrowia, wod-kan, infrastruktury cyfrowej, usług pocztowych, gospodarowania odpadami, wytwarzania żywności, wybranych produkcji oraz podmiotów publicznych. Nowelizacja jest implementacją Dyrektywy NIS2. W przypadku świadczenia usług w innych krajach organizacja musi zbadać jakie tam istnieją regulacje dotyczące bezpieczeństwa informacji, np. sposoby implementacji NIS2 w krajach UE, standardy NIST na rynku USA. Oprócz powyższych ogólnych wymagań bezpieczeństwa informacji istnieją szczegółowe dotyczące np. danych osobowych (ustawa ODO), danych finansowych (rozporządzenie DORA), informacji niejawnej (ustawa OIN), rozporządzenie wykonawcze NIS2 dla podmiotów świadczących usługi m.in. DNS, chmurowe, platform handlowych. Regulacje wskazują głównie na potrzebę działań proaktywnych. Z uwagi na dynamikę zmian regulacje wymagają nieustannej weryfikacji.

Dostępnych jest wiele opisów ram działania (framework) wspomagających uruchomienie SZBI, wśród których najpopularniejsze są normy International Organization for Standardization (ISO) serii 27000 oraz standardy National Institute of Standards and Technology (NIST). Dobre praktyki zawarte są w COBIT, ITIL, SABSA, CIS Critical Security Controls, a także DMBOK.

DMBOK zawiera zbiór dobrych praktyk z zakresu Ładu danych, w których bezpieczeństwo danych jest jednym z 11 głównych obszarów wiedzy. DMBOK wskazuje na zależności bezpieczeństwa danych z innymi zagadnieniami takimi jak architektura, metadane, ład danych. zarządzanie danymi, etyką, przechowywanie i operacjami na danych, integracja i interoperacyjność, zarządzanie dokumentami i treścią, magazynowanie danych i BI, jakość danych, Big Data. Opisuje kompleksowo zagadnienia przez cele, działania, narzędzia, techniki, wytyczne dla wdrożenia, nadzór. Bazuje m.in. na normach ISO, standardach NIST oraz dobrych praktykach i doświadczeniu ekspertów.

Regulacje definiują cele natomiast budowa systemu bezpieczeństwa musi zostać przeprowadzona indywidualnie w organizacji, w sposób dostosowany do wewnętrznej specyfiki danej organizacji.

Zgodność z regulacjami lub standardem potwierdzona kontrolami lub audytami może być warunkiem koniecznym dla prowadzenia działalności (jak w przypadku informacji niejawnej) lub realizacji zamówienia (np. wymaganie certyfikatu ISO).

Odpowiedzialność

SZBI jako system zarządzania musi być zatwierdzony przez najwyższe kierownictwo zgodnie z ich odpowiedzialnością. Kompletność systemu pod kątem zarządzania definiuje m.in. kryterium “Brak konfliktu obowiązków, niezgody i “ziemi niczyjej” w działaniach w zakresie bezpieczeństwa informacji” zgodnie z Podręcznikiem kontroli systemów informatycznych dla najwyższych organów kontroli. Konieczność zaangażowania kierownika jednostki jest wskazane przez regulacje, oraz wytyczne jak ISO lub DMBOK. Wdrożenie organizacji bezpieczeństwa informacji jest zmianą kultury organizacyjnej, dlatego pomocne może być stosowanie metodyk zarządzania zmianą. Wg. DMBOK w przypadku braku kierownika ds. bezpieczeństwa informacji (CISO) odpowiedzialność spoczywa na menadżerach ds. danych (którzy i tak zawsze muszą być angażowani w zagadnienia bezpieczeństwa danych). Wprowadzenie zabezpieczeń musi być spójne w całej organizacji stąd wymaga zaangażowania pracowników na każdym szczeblu. Materializujące się ryzyka w obszarze bezpieczeństwa mogą być bardzo dotkliwe dla interesariuszy organizacji oraz dla samych organizacji i personalnie ich pracowników poprzez konsekwencje przewidziane przepisami szczegółowymi, kodeksem karnym, regulaminem pracy. Niezależnie od delegowania zadań i zdefiniowania ról konsekwencje ponosi kierownictwo jednostki. Nowelizacja KSC definiuje kary finansowe za brak zabezpieczeń zarówno dla podmiotów jak i samych kierowników podmiotów.

Chociaż, jak wskazuje Krzysztof Liderman (2012), „chronimy informacje – dane są tylko ich szczególnym przypadkiem”, to coraz więcej informacji przyjmuje postać wyłącznie danych cyfrowych, stąd wiodącą rolę w bezpieczeństwie informacji powierza się komórkom IT. Podobnie jak w przypadku wdrażania Ładu danych (Data Governance) wdrożenie SZBI często powierzchownie traktuje się to jako zadanie ograniczone do wdrożenia rozwiązań informatycznych. Jednorazowy projekt wdrożenia nowego oprogramowania np. do monitorowania sieci komputerowej lub szkolenie nie będzie skuteczny i nie można go traktować jako wdrożenie SZBI. Bez współpracy całej organizacji wdrożenie SZBI jest niemożliwe. Zabezpieczenie systemów przedsiębiorstwa i przechowywanych w nich danych wymaga współpracy komórek IT, odpowiedzialnych za organizację pracy, zabezpieczenia fizyczne i osobowe oraz interesariuszy biznesowych. Wynika to z różnorodności zagrożeń, np. zabezpieczenia organizacji mogą zostać przełamane metodami psychotechnicznymi (np.  phishing), lub szkodliwymi działaniami samych pracowników (świadomymi lub nieświadomymi), stąd równie istotne są działania organizacyjne i odpowiednie szkolenie pracowników.

“Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny zatem dotyczyć również bezpieczeństwa fizycznego i środowiskowego sieci i systemów informatycznych przez włączenie środków ochrony takich systemów przed awariami, błędem ludzkim, złośliwymi działaniami lub zjawiskami naturalnymi, zgodnie z normami europejskimi i międzynarodowymi, takimi jak normy zawarte w serii ISO/IEC 27000.” (pkt 79 dyrektywy NIS2)

Praktyczne rozwiązania

Prace nad bezpieczeństwem danych mają znaczenie praktyczne pod względem realnego zabezpieczenia się przed zdarzeniami takimi jak wykradzenie lub zniszczenie informacji. Sprawny system zabezpieczeń może działać odstraszająco lub skutecznie utrudnić realizację ataków zewnętrznych lub wewnętrznych. Wdrażając zabezpieczenia przed utratą bezpieczeństwa informacji, trzeba pamiętać, że minimalizują one ryzyka, ale nie likwidują całkowicie zagrożeń. Zgodnie z normą ISO 27001 podstawą budowy SZBI jest analiza ryzyka.

„Bezpieczeństwo informacji oznacza uzasadnione (np. analizą ryzyka i przyjętymi metodami postępowania z ryzykiem) zaufanie, że nie zostaną poniesione potencjalne straty wynikające z niepożądanego (przypadkowego lub świadomego) ujawnienia, modyfikacji, zniszczenia lub uniemożliwienia przetwarzania informacji przechowywanej, przetwarzanej i przesyłanej w określonym systemie jej obiegu” (Liderman 2012)

Według DMBOK wdrażanie zabezpieczeń danych w organizacji należy rozpocząć od analizy potrzeb biznesowych. Należy uwzględnić misję, wielkość, branżę i jej regulacje.  Najczęściej bezpieczeństwo informacji rozpatruje się w trzech wymiarach:

  • poufności – zapewnienia, że informacja nie jest udostępniana lub wyjawiana nieupoważnionym osobom;
  • integralności – zapewnienia, że informacja nie jest zmodyfikowana, usunięta lub dodana w sposób niewłaściwy;
  • dostępności – zapewnienia, że informacja jest możliwa do wykorzystania na żądanie, w założonym czasie, przez uprawnioną osobę.

Informacje wymagają ochrony niezależnie od nośnika: dokumentów papierowych, elektronicznych, systemów informatycznych z bazami danych, wiadomości e-mail, komunikatorów, połączeń głosowych, wiadomości SMS oraz bezpośredniego przekazywania między osobami. Zabezpieczenia informacji powinny być adekwatne do zagrożeń. Każdy rodzaj nośnika wymaga odrębnej analizy ryzyka i zabezpieczeń.

Wdrażanie zabezpieczeń musi uwzględniać konieczność zapewnienia efektywnego działania organizacji, ponieważ same zabezpieczenia mogą stać się zagrożeniem dla efektywności / celów organizacji a przynajmniej stanowić zagrożenie dla dostępności informacji.

Regulacje i dostępne rozwiązania koncentrują się na działania proaktywnych, które wymagają inwestycji finansowych. Jednocześnie przy szacowaniu budżetu warto mieć na uwadze że działania reaktywne generują zwykle wyższe koszty niż działania proaktywne.

Kluczowe dla bezpieczeństwa danych są działające procesy, procedury i usługi bezpieczeństwa wewnątrz organizacji. W standardach, dobrych praktykach, technikach, technologiach np. zarządzanie tożsamością, ograniczenia dostępu do danych, maskowania danych jest dostępna znaczna ilość rozwiązań, stąd wybór i decyzje o wdrożeniu wymagają szerokich analiz ryzyk, potrzeb, efektywności oraz budżetowych. System jest tak bezpieczny jak wszystkie elementy systemu.

W praktyce bardzo pomocną okazuje się Norma ISO 27001, porządkująca zagadnienia bezpieczeństwa w postaci 93 rodzajów zabezpieczeń, które powinny zostać przeanalizowane przez organizacje przez pryzmat ryzyka i potrzeby zastosowania. Norma grupuje zabezpieczenia w obszary:

  • organizacyjny np. podział odpowiedzialności, polityki dostępu;  
  • fizyczny np.  ochrona budynku, konserwacja sprzętu;
  • technologiczny np. szyfrowanie, systemy monitorowania sieci;
  • personalny np. zapisy w umowach o pracę, procedury kadrowe.

Według NIST, DMBOK oraz literatury branżowej jednym z pierwszych podstawowych działań dla właściwego wdrożenia SZBI jest klasyfikacja informacji. Klasyfikacja polega na określeniu grup informacji o podobnych potrzebach zabezpieczeń. Najczęściej stosuje się jako kryterium podziału regulacje prawne i potrzeby poufności uzyskując grupy np.: informacje do ogółu odbiorców, informacje do użytku wewnętrznego, informacje poufne. Identyfikuje się informacje wymagające szczególnej ochrony. Dzięki klasyfikacji można zróżnicować poziomy zabezpieczeń co za tym idzie koszty ich stosowania. Wdrożenie klasyfikacji wiąże się z koniecznością inwentaryzacji informacji i zarządzania metadanymi.

Skuteczność wdrożenia bezpieczeństwa informacji powinna być mierzona w celu uzyskania pewności że działa właściwie. Może być mierzona z wykorzystaniem audytów (w szczególności zewnętrznych), metryk obejmujących np. procent wdrożonych zaleceń audytu, trendów incydentów, statystyki operacji bezpieczeństwa, świadomości bezpieczeństwa.

Regulacje bezpieczeństwa danych a Ład danych

Z bezpośredniego brzmienia lub z semantyki pojęć, definicji i wymagań widać zbieżność pomiędzy regulacjami bezpieczeństwa informacji takimi jak zawarte w ISO 27001 oraz nowelizowanej KSC a Ładem danych wg. DMBOK. Wdrożenie SZBI wg. regulacji wymaga określenia ról, odpowiedzialności, polityk, standardów i procedur dotyczących zarządzania danymi. SZBI to system zarządzania ukierunkowany na bezpieczeństwo, ale definiując zasady niezbędne jest uwzględnienie biznesowych celów, strategii organizacji, wartości danych, kluczowych procesów. Z kolei wdrażając Ład danych według DBMOK, w szczególności opracowując strategie i inne zasady należy uwzględniać regulacje m in. dotyczące bezpieczeństwa danych. Porównując wytyczne można dostrzec podobieństwa bezpośrednie i semantyczne, m. in.:

Ład danych wg. DMBOKSystem Zarządzania Bezpieczeństwem Informacji
Polityki bezpieczeństwaPolityki bezpieczeństwa
Określenie ról i odpowiedzialności za zarządzanie danymi danych, w tym bezpieczeństwo.Określenie ról i odpowiedzialności za bezpieczeństwo informacji.
Zapewnienie dostępności danych dla procesów biznesowych.Zapewnienia dostępności – podstawowy atrybut bezpieczeństwa informacji.
Zarządzania metadanymi.Zarządzanie aktywami w tym prowadzenie ewidencji.
Zarządzanie jakością danych.Zapewnienie integralności – podstawowy atrybut bezpieczeństwa informacji.

Jeżeli organizacja wdrożyła wpierw Ład danych może ponieść mniejszy nakład pracy i kosztów przy wdrożeniu regulacji bezpieczeństwa takich jak nowelizacja KSC dzięki m.in. znajomości danych jakie są przetwarzane w organizacji, ich klasyfikacji, dostępności oraz właścicieli / opiekunów. Przy braku Ładu danych w organizacji wdrażając wzorcowo zasady bezpieczeństwa informacji, w tym SZBI, jednocześnie wdraża się elementy Ładu danych.

Regulacje takie jak nowelizacja KSC mogą stanowić jedną z uzasadnień wdrażania Ładu danych i uzyskania szerszych korzyści z zarządzania danymi.

Najlepsze praktyki zabezpieczania danych opisane są szczegółowo w rozdziale 6 najnowszego wydania DMBOK (2024).

Tekst jest rozwinięciem rozdziału “Bezpieczeństwo Danych” w publikacji Dane miejskie w praktyce. Podręcznik dla samorządów 2024.

Wykorzystane źródła:

dmbok3

📘 DMBoK v3 nadchodzi – trwają prace nad nową wersją Biblii Zarządzania Danymi

by with No Comment AktualnościArtykułyDMBOK WheelPowiązane z DMBOK Wheel

DAMA International rozpoczęła oficjalne przygotowania do publikacji trzeciej edycji Data Management Body of Knowledge (DMBoK v3) – kluczowego dokumentu referencyjnego dla wszystkich profesjonalistów zajmujących się danymi.

Nowa wersja DMBoK uwzględnia zmiany, jakie zaszły w ostatnich latach w świecie danych: rozwój AI, eksplozję danych nieustrukturyzowanych, nowe podejścia do Data Governance, wzrost znaczenia architektury danych, a także zmiany regulacyjne, takie jak RODO, CCPA i AI Act.

📌 Co wiadomo na dziś?

🔹 DAMA International powołała zespół redakcyjny i ekspertów branżowych z całego świata, którzy przygotowują zakres i strukturę nowej publikacji.

🔹 Ogłoszono zaproszenie do współpracy – każdy członek społeczności może zgłosić się jako autor, recenzent lub konsultant.

🔹 DMBoK v3 będzie bardziej praktyczny, zorientowany na role i realne wyzwania wdrożeniowe.

🔹 Planowana publikacja to rok 2 kwartał 2027 roku.

📣 Masz doświadczenie w zarządzaniu danymi? Chcesz mieć wpływ na kierunek rozwoju wiedzy w tej dziedzinie?

Zgłoś się do udziału w pracach nad DMBoK v3 przez stronę www.damadmbok.org. Na tej stronie znajdziesz także aktualne informacje na temat tego projektu.

DAMA Poland Chapter aktywnie wspiera działania DAMA International. Zachęcamy polskich specjalistów do zaangażowania się w prace nad DMBoK v3 i współtworzenia przyszłości zarządzania danymi.

Dane miejskie w praktyce

Premiera podręcznika „Dane miejskie w praktyce” – kompleksowy przewodnik dla samorządów przygotowany wspólnie z DAMA Poland

by with No Comment AktualnościArtykułyDMBOK WheelPowiązane z DMBOK Wheel

3 lipca 2025 r. miała miejsce premiera nowej publikacji pt. „Dane miejskie w praktyce. Podręcznik dla samorządów”, stworzonej z myślą o wsparciu jednostek samorządu terytorialnego w skutecznym zarządzaniu danymi. Podręcznik został opracowany przez zespół ekspertów zrzeszonych wokół Integratora Danych Miejskich IRMiR, przy aktywnym udziale specjalistów z DAMA Poland Chapter.

Cel publikacji

Publikacja stanowi praktyczny przewodnik dla przedstawicieli miast i gmin, pokazujący, jak efektywnie wykorzystywać dane w codziennym zarządzaniu – od podejmowania decyzji strategicznych, przez planowanie przestrzenne, aż po obsługę mieszkańców. Autorzy opisują zarówno wyzwania, jak i gotowe rozwiązania – zgodne z najlepszymi międzynarodowymi standardami.

Dla kogo?

Podręcznik adresowany jest do szerokiego grona odbiorców:

  • burmistrzów i prezydentów miast,
  • specjalistów ds. transformacji cyfrowej i smart city,
  • pracowników urzędów odpowiedzialnych za ewidencję, rejestry i analitykę danych,
  • a także wszystkich osób zaangażowanych w rozwój polityki miejskiej opartej na danych.

Zakres tematyczny

Wśród poruszanych zagadnień znajdują się m.in.:

  • cyfrowa transformacja miast,
  • ocena dojrzałości organizacji w zakresie zarządzania danymi,
  • pozyskiwanie, udostępnianie i jakość danych,
  • aspekty prawne (w tym RODO),
  • wzory dokumentów przetargowych i przykłady postępowań,
  • analiza ryzyk i rekomendacje do dalszych działań.

Wydarzenie

Premiera podręcznika odbyła się w formule online. Podczas wydarzenia autorzy zaprezentowali kluczowe wnioski, przykłady wdrożeń oraz odpowiedzieli na pytania uczestników. Spotkanie przyciągnęło szerokie grono przedstawicieli samorządów oraz osób zainteresowanych wykorzystaniem danych w sektorze publicznym.

Dostępność

Publikacja jest dostępna bezpłatnie na stronie Obserwatorium Polityki Miejskiej i Regionalnej:

👉 Pobierz podręcznik

Wkład DAMA Poland Chapter

W prace nad publikacją zaangażowani byli eksperci DAMA Poland Chapter. Współtwórcy podręcznika to aktywni członkowie DAMA, którzy wnieśli swoją wiedzę merytoryczną i doświadczenie projektowe: Wiktoria Gromowa-Cieślik, Staszek Radomski, Filip Dzięcioł, Karol Berłowski, Wojciech Łachowski i Arkadiusz Dąbkowski

_MG_3576 CDO Forum - We love data

Konferencja CDO Forum 2025

by with One Comment AktualnościArtykułyDMBOK WheelPowiązane z DMBOK Wheel

Jak co roku, spotkaliśmy się 5 czerwca w Warszawie, w hotelu Renaissance Warsaw Airport, na dorocznej konferencji CDO Forum zorganizowanej przez Evention oraz DAMA Poland Chapter przy wsparciu licznych firm – dostawców rozwiązań z obszaru szeroko rozumianej „data” będących sponsorami wydarzenia. W poprzedzającym dniu odbył się warsztat  pt. „Praktyczne vademecum jakości danych” prowadzony przez eksperta od jakości danych Piotra Czarnasa. A kolejnego dnia odbyły się 3 warsztaty online. Poniższa relacja dotyczy głównego dnia konferencji, gdzie spotkaliśmy się na żywo aby wysłuchać prezentacji, dyskutować i nawiązywać kontakty w ramach networkingu. Partnerem generalnym konferencji była w tym roku firma Snowflake, natomiast partnerami strategicznymi firmy IBM i Ab Initio.

Fot. Evention

Prezentacje z sesji plenarnej

Data in orbit

Konferencję otworzył jak zwykle Przemysław Gamdzyk, po czym wystąpił gość specjalny Winfried Adalbert Etzel z Norwegii, członek Data Management Association Norway, z prezentacją „Data in Orbit”  („Układ słoneczny” danych), który nawiązując do znanego filmu SF Żołnierze kosmosu” mówił o wyzwaniach w zarządzaniu danymi, cechach, które powinny charakteryzować managerów, i nie tylko, zajmujących się zarządzaniem danymi, np. wspierać inicjatywy i działania w tym obszarze zamiast je wymuszać. Oczywiście znalazła się też chwila na omówienie aspektów jak AI wpływ na DM.

Fot. Sławomir Tomczak

Wdrożenie AI w organizacji: od przygotowania danych do działającej aplikacji

Następnie scenę zajął Piotr Pietrzkiewicz ze Snowflake, który przedstawił doświadczenia firmy w budowaniu rozwiązań AI dla Siemens Energy. W swojej pracy wykorzystują porady i najlepsze praktyki opisane m.in. w ich dokumencie „The data executive’s guide to effective AI”. Mnie ujęło proste, ale zasadnicze hasło, które Piotr zacytował: „There is no AI strategy without a data strategy”. Niestety w firmach zapomina się nierzadko o tej drugiej części i jak to Piotr pokazał na jednym ze slajdów, wystarczy w nazwie projektu umieścić magiczny skrót AI, żeby dostać na niego fundusze. A AI to nie magiczna kula, którą zapytamy i dostaniemy odpowiedź. To mozolna praca nad zbudowaniem wartościowych rozwiązań – w Siemens Energy zbudowano AI playground (piaskownicę), w której przetestowano ponad 300 pomysłów na rozwiązania AI i mały procent z nich doczekał się wdrożenia. Ważnym przesłaniem z prezentacji było, aby AI traktować jako nowego pracownika, który musi zostać wyszkolony na dobrych i licznych danych, a później jego wydajność musi być monitorowana, aby weryfikować czy rzeczywiście dostarcza zakładanej wartości biznesowej.

Fot. Sławomir Tomczak

Prelegent wspomniał o konieczności zmiany sposobu myślenia z silosowego, po obszarach biznesowych, na myślenie zorientowane na produkt danych zapewniające widok 360° na dane klienta czy usługi oferowane przez firmę. Na koniec padła istotna też kwestia, że nie należy zapominać o komunikacji dotyczącej danych i AI, aby budować świadomość w firmie i zarządzać oczekiwaniami, także na poziomie zarządu. Moim zdaniem była to jedna z najciekawszych i najbardziej wartościowych prezentacji tego dnia.

Od generowania tekstu do realizacji zadań: rola kontekstu, pamięci i Model Context Protocol w rozwoju Agentic AI

Następnie Wojciech Małek z Ab Initio zaprezentował bardziej technologiczną prezentację, w której omówił architekturę rozwiązań agentowych, kwestie różnego rodzaju pamięci w rozwiązaniach LLM i RAG oraz halucynacji modeli. Prelegent przedstawił bliżej cechy protokołu MCP, m.in. jego rozszerzalność umożliwiającą dodawanie nowych funkcji jedynie przez uruchomienie i zarejestrowania nowego serwera, bez modyfikacji kodu agenta. Omówił też kwestie użycia MCP przez agentów AI i sposób wykorzystania MCP w budowie rozwiązań agentowych przez Ab Initio.

Fot. Sławomir Tomczak

Od danych do chaosu – czyli dlaczego AI Governance potrzebuje CDO

W kolejnym wystąpieniu Aleksandra Kaszuba z IBM zaprezentowała narzędzie Watsonx.governance do oceny i zarządzania ryzykiem dla rozwiązań AI, w tym także zgodności z regulacjami, np. AI Act. Dla ilustracji problemu ze stronniczością AI wynikającą z użytych danych do trenowania modelu zaprezentowała przykład, w którym AI zapytano o wizerunek szefa amerykańskiego i polskiego banku. W Polsce był to mężczyzna w średnim wieku, natomiast w USA była to młoda kobieta. Prelegentka omówiła różnego typu ryzyka występujące przy wdrażaniu rozwiązań AI, zebrane przez IBM w katalogu ryzyk (darmowym) dostępnym na stronach firmy. Zaprezentowała też cykl życia projektu z wykorzystaniem AI i na przykładzie asystenta HR zbudowanego dla unijnej organizacji AMLA i przedstawiła jak używać narzędzi Watsonx.governance do zarządzania wdrożeniami rozwiązań AI. Przedstawiła też zestaw procesów, polityk i narzędzi tworzący framework AI governance przygotowany przez grupę roboczą ds. AI – członków społeczności Forum Technologii Bankowych.

Fot. Sławomir Tomczak

Panel dyskusyjny

W panelu dyskusyjnym pt. „Jak pielęgnować i utrzymać talenty w dziale danych – między produktywnością a rozwojem”, prowadzonym przez Marcina Choińskiego (dyrektora ds. zarządzania danymi z TVN Warner Bros Discovery), szefowie działów zarządzania danych z Alior Bank, GUS oraz przedstawiciele dostawców IQVIA oraz Snowflake dyskutowali z Marcinem o tym jak duża jest rotacja pracowników z ich obszaru, co wpływa na zadowolenie pracownika i co motywuje pracowników z obszaru szeroko pojętej data do pracy. Dominika Rogalińska z GUS opowiedziała o ich inicjatywie Akademii Data Science – wewnętrznej grupie osób zajmujących się tematami zarządzania danymi, z której przez ostatnie 2 lata nikt nie odszedł, a pracownicy są zmotywowani rozwijającymi ich kompetencje zadaniami oraz pewnym dodatkiem finansowym.

Fot. Sławomir Tomczak

Prezentacje w sesjach równoległych

Jakość danych referencyjnych – kluczowym czynnikiem korporacyjnego raportowania

W ścieżkach równoległych prezentacji , których były aż trzy udało mi się posłuchać wystąpienia Piotra Romanowskiego z Medicover. Piotr mówił o wdrożeniu rozwiązania dla zarządzania danymi referencyjnymi (w oparciu o aplikację Metastudio), które przy dużej firmie prowadzącej biznes w kilkunastu krajach okazało się niezbędne, aby dobrze zdefiniować pojęcia biznesowe i słowniki używane w ich biznesie. Wdrożenie pozwoliło zadbać im o jednolite i scentralizowane zarządzanie słownikami danych i powiązanie słowników z danymi w katalogu danych. A wyzwaniem było np. zapewnienie zlokalizowanej obsługi użytkowników w aplikacji, nawet lokalnego języka Dogri używanego w Indiach przez ok 2.6 mln osób.

Z chaosu do ładu, czyli jak opracować plan lotu dla data governance

W innym wystąpieniu Michał Kołodziejski z BitPeak oraz Marcin Wojszcz z Polskiej Grupy Lotniczej S.A. przedstawili prezentację, w której mówili o zmianach w podejściu do danych i zarządzania nimi w PGL wynikającej ze strategii na lata 2024-28 oraz projektu strategicznego „LOT napędzany danymi”. Problemy były, jak to zwykle bywa, m. in. z dostępnością danych (30% osób zgłosiło taki problem) i ich właścicielstwem. Wspólnym wysiłkiem PGL i dostawcy udało się opracować plan lotu – roadmapę działań, w ramach której powołano zespół data governance. Po ustaleniu zakresu prac, zdefiniowaniu pojęć, wybrano na pilota projekt w obszarze danych klienta i w drodze warsztatów ustalono zakres danych, powiązane systemy, procesy i aktorów oraz użyteczność i krytyczność danych. Oczywiście pojawiły się trudności (turbulencje), ale udało im się „miękko wylądować” i obecnie mogą np. wyliczyć ilu dokładnie pasażerów skorzystało z lotów – w kwietniu 2025 było to ponad 915 tysięcy. Ciekawa była forma prezentacji, choć przydałoby się trochę więcej szczegółów i wyjaśnienia czasem enigmatycznych haseł.

Fot. Evention

Od metadanych do wartości biznesowej: Jak wybrać i przekształcić katalog danych w aktywo strategiczne organizacji

W ostatnim wystąpieniu przed sesją plenarną udało mi się posłuchać Bartłomieja Graczyka z Polpharma Group, który w ciekawej prezentacji, choć na początku się na to nie zapowiadało, opowiedział o wdrożeniu w 6 miesięcy raportowania ESG w oparciu o katalog danych. W ramach wdrożenia w 2 miesiące zidentyfikowali kluczowe wskaźniki ESG i zmapowali zródła danych z 17 systemów. W kolejne 2 miesiące wdrożyli rozwiązanie Dataedo dla domeny ESG. Bartłomiej przedstawił drogę jaką podążał zespół wdrożeniowy, problemy, z którymi się zmierzyli, głównie w zakresie jakości danych i udokumentowania źródła danych. Autor przedstawił też kluczowe role w organizacji potrzebne do efektywnego wdrożenia katalogu danych oraz czynniki sukcesu wśród których można wymienić dedykowanych opiekunów danych (na min. 30% etatu) oraz wsparcie wielu członków Zarządu.

Wartościowym składnikiem, którym Polpharma mogłaby się szerzej podzielić był 3-warstwowy model oceny dopasowania rozwiązania katalogu danych do organizacji. Widać było, że zespół odpowiedzialny za wybór podszedł do tego sumiennie i zdefiniował wielorakie kryteria oceny rozwiązania, które później zastosowano do oceny kilku popularnych rozwiązań dostępnych na rynku polskim.

Fot. Evention

Swoją drogą, w ramach działań organizacji DAMA Poland Chapter nasi członkowie stworzyli katalog rozwiązań z szeroko pojętego obszaru przetwarzania danych dostępny pod adresem https://katalog.damapoland.org/kategorie-narzedzi.  

GenAI: strażnik governance i jakości danych w BEST SA

Ostatnią prezentacją jaką udało mi się zobaczyć była prowadzona przez Natalię Wasielewską z BEST SA z pomocą Mariusza Kujawskiego z Adastra. BEST użył narzędzia dostarczonego przez Adastra oraz wbudowanych w niego mechanizmów AI do szybkiego tworzenia i wdrażania nowych miar jakości danych. AI proponuje zapytania SQL dla miar, dzięki którym specjaliści mogą szybko zbudować pożądane miary. Efektem tego było wdrożenie w 3 miesiące podobnej ilości miar jak przez ostatnie 4 lata (!). BEST przy implementacji miar jakości danych oparł się o metodykę DAMA – DMBOK , która definiuje wymiary kompletności, unikalności, spójności, poprawności, adekwatności i aktualności danych. Narzędzia AI świetnie sprawdziły się im też przy czyszczeniu danych adresowych. Ciekawym punktem podniesionym przez Natalię była potrzeba obserwacji jakości danych z perspektywy procesów biznesowych, a nie tylko domen danych. Jak dla mnie był tojeden z ważniejszych punktów, które wyniosłem z tej prezentacji. Bo co z tego, że np. jakość i kompletność atrybutu nr telefonu kontaktowegoklienta będzie na poziomie blisko 100%, jeśli ten atrybut nie jest używany w żadnym procesie biznesowym, a z kolei atrybut adres email klienta wypełniony na poziomie przykładowo 30-40% uniemożliwia skuteczną komunikację tym kanałem.

Fot. Evention

Spotkania roundtables

Stolik 5 – Czy rewolucja AI zaczyna być ofiarą własnego sukcesu? Dane, oczekiwania i realia wdrożeń

W przerwie prezentacji odbyły się dyskusje przy stolikach, tzw. Roundtables, których było osiem i podejmowały tematy od bezpieczeństwa danych i ich prywatności przez rolę Chief Data Officer po marketplace danych i wpływ AI na obszar przetwarzania i zarządzania danymi. Ja wziąłem udział w dyskusji o nośnym temacie danych, oczekiwań i realiów wdrożeń rozwiązań AI prowadzonej przez przedstawicieli Neuca oraz Ab Initio. I tu muszę przyznać, że dyskusja jak co roku trochę mnie rozczarowała. Może wynikało to z liczby osób zainteresowanych tematem (overbooking miejsc przy stoliku na poziomie ponad 50%…), może inne aspekty też zaważyły, ale moim zdaniem trudno było utrzymać dyskusję wokół tytułowych wdrożeń, a też niełatwo było dojść do głosu. Ja przynajmniej oczekiwałem konkretnych przykładów i dyskusji dlaczego coś zadziałało lub nie, gdzie AI się sprawdza, a gdzie lepiej w niego nie wchodzić. Z konkretów dyskusji pamiętam, że przedstawiciel jednego z banków mówił o ich doświadczeniach z wdrożenia narzędzi AI, za pomocą których użytkownicy biznesowi mogą tworzyć raporty za pomocą język naturalnego, który AI „przekłada” na odpowiedni kod zapytań SQL. Jednak problemem był odbiór tego przez użytkowników, którzy niechętnie korzystali z rozwiązania, zapewne przez brak zaufania, preferując jednak kontakt z żywym człowiekiem, który może przygotować dla nich taki raport.

Fot. Evention

Zakończenie konferencji

Późnym popołudniem, po wszystkich wystąpieniach nastąpiło losowanie nagród w konkursie, w którym należało odwiedzić wszystkie stoiska dostawców i pozbierać pieczątki, a przy okazji móc zapoznać się z oferowanymi przez nich rozwiązaniami i nawiązać kontakt z dostawcami. W tym roku płeć żeńska miała wyjątkowe szczęście i wszystkie nagrody zgarnęły Panie.

Cenny był też czas networkingu, także z prelegentami, już po stresie wystąpień publicznych, który ja intensywnie wykorzystywałem na nawiązanie relacji i z dostawcami i z fachowcami w branży.

Podsumowanie

Jak zwykle w tym miejscu, w hotelu Renaissance Warsaw Airport, bo CDO Forum odbywa się tam już od paru lat, catering i organizacja stały na wysokim poziomie – sprawna rejestracja, smaczne przekąski i lunch. Aczkolwiek zawsze można coś poprawić i mnie osobiście brakowało na każdej sali programu wystąpień ze wszystkich trzech sal. A przede wszystkim szkoda , że wystąpienia nie były nagrywane przez organizatorów (choćby tylko audio) i udostępnione na stronach CDO Forum. Dużo było wartościowych treści w tych wystąpieniach, a z uwagi na ich zrównoleglenie, fizycznie nie było możliwości, żeby to wszystko zaabsorbować.

W tegorocznej edycji zarejestrowało się 326 uczestników (w poprzednim roku było niespełna 290) reprezentujących szerokie spektrum branżowe, przy czym największą reprezentację miały bankowość i finanse (25%), a łącznie z ubezpieczeniami było to (28%) oraz usługi IT (28%). Ze strony dostawców było to 16 firm, z których duża część uczestniczyła też w zeszłorocznej konferencji. W warsztatach online kolejnego dnia wzięło udział prawie 100 uczestników. Wśród prelegentów szczególnie widać było przedstawicieli branży finansowej oraz medycznej. Natomiast zastanawiające był nikły udział telekomów i mediów, poza TVN, którego CDO uczestniczył w panelu dyskusyjnym i przedstawicielką T-Mobile, która współprowadziła jedną z dyskusji w sesji roundtables.

Podsumowując, to był cenny czas i udział w konferencji uważam za dobrze zainwestowane pieniądze. Bywam na konferencji od paru lat i mam już ją w planach na przyszły rok.

Sławomir Tomczak, członek DAMA Poland Chapter

Dama 1600 x 900 px (3)

🔊 Jakie wyzwania kryją się za projektami Big Data? 

by with No Comment ArtykułyPodcastPowiązane z DMBOK Wheel

W najnowszym odcinku serii „Big Data – Big Challenges – and Real Success” przedstawione zostają wyzwania związane z realizacją projektów Big Data, ich specyfika oraz kluczowe umiejętności potrzebne w tej dziedzinie. 

Gościem odcinka jest Paweł Matławski, Product Owner w Sofixit, doświadczony specjalista w obszarze analityki biznesowej i projektowania produktów. W rozmowie dzieli się swoimi doświadczeniami, omawiając największe trudności w projektach Big Data oraz różnice między projektami danych a innymi projektami IT. 

Prowadzący przybliżają również kluczowe kompetencje analityków danych, narzędzia i technologie wspierające pracę z Big Data oraz kierunki, w których rozwija się branża. Na koniec Paweł poleca cenne źródła wiedzy dla tych, którzy chcą zgłębiać temat analizy i zarządzania danymi. 

🎧 Zapraszamy do słuchania! 

👉 Spotify

👉 YouTube z napisami po angielsku

Sofixit to firma technologiczna tworząca innowacyjne rozwiązania w obszarze danych i sztucznej inteligencji. Więcej na www.sofixit.pl. 

_123d5c94-2a3a-4a7a-b680-1aa8e841bb60

Monetyzacja danych, a jakość danych – przykład na bazie zarządzania ryzykiem kredytowym w banku

by with No Comment Powiązane z DMBOK Wheel

Co to jest monetyzacja danych ?

Monetyzacja danych oznacza wykorzystywanie zgromadzonych informacji i danych klientów w celu generowania przychodów lub zysków. Jest to praktyka, która staje się coraz bardziej popularna w erze cyfrowej, gdzie przedsiębiorstwa gromadzą ogromne ilości danych o swoich klientach i ich transakcjach. Oto kilka produktów, dla których można ‘monetyzować’ dane na przykładzie branży bankowej:

  1. Personalizacja ofert i usług: Banki mogą wykorzystywać dane o zachowaniach finansowych klientów, aby dostosować oferty i usługi do ich indywidualnych potrzeb
  2. Analiza ryzyka i ocena kredytowa: Dane klientów pozwalają bankom na dokładniejszą analizę ryzyka i ocenę kredytową. Dzięki temu mogą one podejmować bardziej trafne decyzje dotyczące udzielania kredytów i innych produktów finansowych
  3. Sprzedaż danych: Banki mogą zdecydować się na sprzedaż anonimizowanych lub agregowanych danych klientów innym firmom, takim jak firmy badawcze, agencje marketingowe lub instytucje rządowe
  4. Programy partnerskie i marketing: Banki mogą nawiązywać współpracę z firmami zewnętrznymi i oferować im dostęp do swojej bazy klientów w zamian za udział w przychodach lub opłaty za reklamę.
  5. Rozwój nowych produktów i usług: Dostęp do danych klientów może pomóc bankom w identyfikowaniu nowych trendów i potrzeb rynkowych
  6. Zwiększona retencja klientów: Banki mogą wykorzystywać dane do analizy zachowań klientów i identyfikowania tych, którzy są zagrożeni odejściem do konkurencyjnych instytucji finansowych

Warto zaznaczyć, że monetyzacja danych musi być przeprowadzana z uwzględnieniem przepisów dotyczących ochrony danych osobowych, takich jak RODO / GDPR w Europie, aby zapewnić prywatność i bezpieczeństwo klientów.

Zanim przejedziemy dalej wyjaśnienia wymaga jeszcze pojęcie ‘Data Product’ (ang.) użytego na potrzeby tego artykułu. ‘Produkt Danych’ to rodzaj produktu lub usługi zbudowanej wokół wykorzystania danych i analiz w celu zapewnienia wartości użytkownikom lub klientom. Na ‘Data Product’ mogą się składać się takie elementy jak: dane, procesy biznesowe, właścicielstwo danych, metryki jakościowe, raporty, modele danych, systemy, interfejsy, powiązane metadata, definicje i słowniki danych itp., a więc wszystko co łączy się bezpośrednio, lub bezpośrednio z ‘DAMA Wheel’

Przykład analizy Ryzyka i Ocena Kredytowa

1. Wprowadzenie

W niniejszym artykule skupimy się na przykładzie ‘Produktu Danych’ dot. Ryzyka Kredytowego i Oceny Zdolności Kredytowej Dla Klienta Biznesowego, ale w analogiczny sposób można przeprowadzić analizę dla każdego innego produktu, klienta lub segmentu zarówno z obszaru danych branży finansowej jak i nie finansowej, jednak należy zaznaczyć, iż kluczem do sukcesu jest zrozumienia wszystkich elementów związanych z danym produktem.

2. Business Case

W ramach omawianego przykładu bierzemy pod uwagę proces kalkulacji ratingu klienta biznesowego w oparciu o dane pochodzące z systemów źródłowych Banku i wpływu tej kalkulacji na inne modele takie jak Risk Weight Asset (RWA) oraz Economic Capital (EC) przy uwzględnieniu procesów agregacji i transformacji danych wykorzystujących tzw. ‘Critical Data Elements’ (CDE) – w naszym przypadku ‘Typ Księgowości’ (Accouting Type), gdzie błąd w danych prowadzi do zniekształcenia danych, a co za tym idzie dalszych błędnych wyników końcowych. Warto nadmienić, iż CDEs powinny zostać skatalogowane w dedykowanym Katalogu Danych

Poniżej znajduje się uproszczony diagram (diagram nr 1) pokazujący wpływ ww. błędu w polu ‘Accouting Type’ (3) (Typ Księgowości) na poszczególne modele, a w następstwie na wyliczanie parametrów RWA i Economic Capital Demand (EC) – oczywiście jest to wersja ‘bardzo’ uproszczona 🙂

W praktyce każda zmienna tzw. ‘Input Variable’, która wpływa na jakikolwiek model danych (LGD, PD, EL etc.) włączając w to modele ML/AI niesie za sobą ryzyko błędnej kalkulacji modelu i wzrostu ponoszonych kosztów np. rezerwy, wymogi kapitałowe itp. lub błędnych decyzji podjętych przez człowieka lub… komputer w oparciu o te dane :warning:.

Aby uniknąć takich ‘błędów’ oraz pomyłek, które mogą generować straty finansowe, Regulator w ramach m.in regulacji BCBS239 ustalił 3 główne obszary , które winny być monitorowane wraz z określonymi wymogami (BCBS239 Priniciples from 1 to 11).

Obszary te możemy podzielić na:

BCBS239 Principles

Warto nadmienić, iż przy wprowadzeniu powyższych wymogów pomoże nam DAMA jako, że zawiera wszystkie elementy potrzebne do wypełnienia postanowień BCBS 239 po stworzeniu odpowiedniego ‘Planu i Konceptu Wdrożenia BCBS 239’

W dalszej kolejności DAMA może nam pomóc zaadresować inne wymogi regulacyjne np. BCBC239, GDPR , Target Review Internal Model (TRIM) , IFRS9 requirements, Capital Requirements Regulation (CRR) lub wiele innych, które można znaleźć na poniższej stronie: Interactive Single Rulebook

3. Analiza i działania

3.1 Analiza Przyczyny Błędu (Root Cause Analysis):

Brak wprowadzonego we właściwy sposób ‘Typu Księgowości’ przez pracownika banku (1 minute task) dla jednego klienta w systemie operacyjnym, którego ekspozycja wynosi 1 mln EUR skutkuje brakiem możliwości użycia ‘technik redukcji ryzyka’ i zgodnie z wymogami BASEL dotworzeniem rezerw, a przez to dodatkowych Wymogów Kapitałowych również na poziomie 1 mln EUR :warning:.

3.2 Wniosek pokontrolny:

Jeżeli w Banku byłoby takich 100 klientów, dla których brak jest wprowadzonej poprawnej wartości tylko w jednym polu :warning: to Bank musi dotworzyć z dnia na dzień o ca 95% więcej rezerw i wymogów kapitałowych niż to jest wymagane przez regulatora dla danej ekspozycji, jeżeli błąd nie istnieje :warning:.

3.3 Rekomendowane Działania:

  1. Zbudowanie ‘Przepływu Procesu Danych’ dla każdego modelu (Data Lineage)
  2. Identyfikacja zmiennych wpływających na model i zaszeregowanie ich jako tzw. ‘Critical Data Elements’ (CDE) (patrz również drugi diagram – część Model Owner)
  3. Identyfikacja i dokumentacja sposobów agragacji, transofrmacji i właścicielstwa danych przy pomocy ‘Procesu Przypływu Danych’ (Data Lineage) i Katalogu Danych (Data Katalog)
  4. Określenie wymogów na potrzeby ‘Monitorowania Jakości Danych’ (Data Observability) np. Business DQ Rules, Technical DQ Rules, Integgration DQ Rules i wdrożenie w narzędziu do ‘Monitorowania Jakości Danych’ na poszczególnych etapach ‘Lineage’ (patrz również drugi diagram – część DQ Ownership & Issue)
  5. Porównując dane (przed błędem vs po błędzie) możemy określić wpływ, a więc dokonać ‘monetyzacji’ oraz wyliczyć ROI dla Data Governance*

*Należy pamiętać, żę aby wyliczyć ROI dla Data Governance, warto wdrożyć wszystkie wymagane elementy #DAMA (Data Governance, Data Quality & Data Operation), gdyż trudno jest wyliczyć ROI i tylko dla jednego z nich :warning:

Załączniki

Wykres 1 – Mapa Danych / Model Koncepcyjny:

Wykres 2 – Przykład Przepływu Danych (Data Lineage Topic):