security-1202344_1280 (1)

Bezpieczeństwo danych czyli Ład danych a Cyberbezpieczeństwo i jego regulacje

by with No Comment ArtykułyPowiązane z DMBOK WheelUncategorized

Zarządzanie bezpieczeństwem jest jednym z podstawowych zagadnień zarządzania danymi.

Konsekwencje utraty bezpieczeństwa informacji powodują bezpośrednie zakłócenia działalności oraz mogą wpłynąć na bezpieczeństwo kontrahentów i klientów, których dane są przetwarzane, a nawet mogą doprowadzić do likwidacji przedsiębiorstwa. Mogą spowodować straty finansowe poprzez konieczność usuwania uszkodzeń, utratę zysków lub nałożenie kar finansowych za niewystarczające zabezpieczenia.

Bezpieczeństwo informacji obejmuje różne rodzaje zagrożeń w tym celowe szkodliwe działania takie jak cyberataki, ale także błędy ludzkie, awarie, czynniki środowiskowe. Ogromna liczba zagadnień koniecznych do uwzględnienia przy wdrażaniu i stosowaniu zasad bezpieczeństwa informacji powoduje dużą trudność w zaplanowaniu działań. Z uwagi na tą rozległość dziedzinową stosuje się systemowe podejście do zarządzania bezpieczeństwem. System Zarządzania Bezpieczeństwem Informacji (SZBI) jak nazwa wskazuje koncentruje się na zarządzaniu, czyli określeniu ról, odpowiedzialności, zadań. SZBI ma wymiar formalny i praktyczny. Wymiar formalny poprzez konieczność zapewnienia zgodności z licznymi regulacjami (w szczególności przepisami prawa). Wymiar praktyczny poprzez faktyczną odporność na zagrożenia bezpieczeństwa informacji.

Zgodność z regulacjami

Rozpoczęcie prac nad SZBI wymaga wpierw zbadania czy w branży, którą zajmuje się organizacja istnieją regulacje prawne zawierające konkretne wymagania lub wskazania na standardy lub normy.

Według stanu na początek listopada 2025 r. na ukończeniu przygotowań jest nowelizacja Ustawy o krajowym systemie cyberbezpieczeństwa (KSC) ujednolicająca wymagania dla strategicznych branż m.in: energii, transportu, bankowości, ochrony zdrowia, wod-kan, infrastruktury cyfrowej, usług pocztowych, gospodarowania odpadami, wytwarzania żywności, wybranych produkcji oraz podmiotów publicznych. Nowelizacja jest implementacją Dyrektywy NIS2. W przypadku świadczenia usług w innych krajach organizacja musi zbadać jakie tam istnieją regulacje dotyczące bezpieczeństwa informacji, np. sposoby implementacji NIS2 w krajach UE, standardy NIST na rynku USA. Oprócz powyższych ogólnych wymagań bezpieczeństwa informacji istnieją szczegółowe dotyczące np. danych osobowych (ustawa ODO), danych finansowych (rozporządzenie DORA), informacji niejawnej (ustawa OIN), rozporządzenie wykonawcze NIS2 dla podmiotów świadczących usługi m.in. DNS, chmurowe, platform handlowych. Regulacje wskazują głównie na potrzebę działań proaktywnych. Z uwagi na dynamikę zmian regulacje wymagają nieustannej weryfikacji.

Dostępnych jest wiele opisów ram działania (framework) wspomagających uruchomienie SZBI, wśród których najpopularniejsze są normy International Organization for Standardization (ISO) serii 27000 oraz standardy National Institute of Standards and Technology (NIST). Dobre praktyki zawarte są w COBIT, ITIL, SABSA, CIS Critical Security Controls, a także DMBOK.

DMBOK zawiera zbiór dobrych praktyk z zakresu Ładu danych, w których bezpieczeństwo danych jest jednym z 11 głównych obszarów wiedzy. DMBOK wskazuje na zależności bezpieczeństwa danych z innymi zagadnieniami takimi jak architektura, metadane, ład danych. zarządzanie danymi, etyką, przechowywanie i operacjami na danych, integracja i interoperacyjność, zarządzanie dokumentami i treścią, magazynowanie danych i BI, jakość danych, Big Data. Opisuje kompleksowo zagadnienia przez cele, działania, narzędzia, techniki, wytyczne dla wdrożenia, nadzór. Bazuje m.in. na normach ISO, standardach NIST oraz dobrych praktykach i doświadczeniu ekspertów.

Regulacje definiują cele natomiast budowa systemu bezpieczeństwa musi zostać przeprowadzona indywidualnie w organizacji, w sposób dostosowany do wewnętrznej specyfiki danej organizacji.

Zgodność z regulacjami lub standardem potwierdzona kontrolami lub audytami może być warunkiem koniecznym dla prowadzenia działalności (jak w przypadku informacji niejawnej) lub realizacji zamówienia (np. wymaganie certyfikatu ISO).

Odpowiedzialność

SZBI jako system zarządzania musi być zatwierdzony przez najwyższe kierownictwo zgodnie z ich odpowiedzialnością. Kompletność systemu pod kątem zarządzania definiuje m.in. kryterium “Brak konfliktu obowiązków, niezgody i “ziemi niczyjej” w działaniach w zakresie bezpieczeństwa informacji” zgodnie z Podręcznikiem kontroli systemów informatycznych dla najwyższych organów kontroli. Konieczność zaangażowania kierownika jednostki jest wskazane przez regulacje, oraz wytyczne jak ISO lub DMBOK. Wdrożenie organizacji bezpieczeństwa informacji jest zmianą kultury organizacyjnej, dlatego pomocne może być stosowanie metodyk zarządzania zmianą. Wg. DMBOK w przypadku braku kierownika ds. bezpieczeństwa informacji (CISO) odpowiedzialność spoczywa na menadżerach ds. danych (którzy i tak zawsze muszą być angażowani w zagadnienia bezpieczeństwa danych). Wprowadzenie zabezpieczeń musi być spójne w całej organizacji stąd wymaga zaangażowania pracowników na każdym szczeblu. Materializujące się ryzyka w obszarze bezpieczeństwa mogą być bardzo dotkliwe dla interesariuszy organizacji oraz dla samych organizacji i personalnie ich pracowników poprzez konsekwencje przewidziane przepisami szczegółowymi, kodeksem karnym, regulaminem pracy. Niezależnie od delegowania zadań i zdefiniowania ról konsekwencje ponosi kierownictwo jednostki. Nowelizacja KSC definiuje kary finansowe za brak zabezpieczeń zarówno dla podmiotów jak i samych kierowników podmiotów.

Chociaż, jak wskazuje Krzysztof Liderman (2012), „chronimy informacje – dane są tylko ich szczególnym przypadkiem”, to coraz więcej informacji przyjmuje postać wyłącznie danych cyfrowych, stąd wiodącą rolę w bezpieczeństwie informacji powierza się komórkom IT. Podobnie jak w przypadku wdrażania Ładu danych (Data Governance) wdrożenie SZBI często powierzchownie traktuje się to jako zadanie ograniczone do wdrożenia rozwiązań informatycznych. Jednorazowy projekt wdrożenia nowego oprogramowania np. do monitorowania sieci komputerowej lub szkolenie nie będzie skuteczny i nie można go traktować jako wdrożenie SZBI. Bez współpracy całej organizacji wdrożenie SZBI jest niemożliwe. Zabezpieczenie systemów przedsiębiorstwa i przechowywanych w nich danych wymaga współpracy komórek IT, odpowiedzialnych za organizację pracy, zabezpieczenia fizyczne i osobowe oraz interesariuszy biznesowych. Wynika to z różnorodności zagrożeń, np. zabezpieczenia organizacji mogą zostać przełamane metodami psychotechnicznymi (np.  phishing), lub szkodliwymi działaniami samych pracowników (świadomymi lub nieświadomymi), stąd równie istotne są działania organizacyjne i odpowiednie szkolenie pracowników.

“Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny zatem dotyczyć również bezpieczeństwa fizycznego i środowiskowego sieci i systemów informatycznych przez włączenie środków ochrony takich systemów przed awariami, błędem ludzkim, złośliwymi działaniami lub zjawiskami naturalnymi, zgodnie z normami europejskimi i międzynarodowymi, takimi jak normy zawarte w serii ISO/IEC 27000.” (pkt 79 dyrektywy NIS2)

Praktyczne rozwiązania

Prace nad bezpieczeństwem danych mają znaczenie praktyczne pod względem realnego zabezpieczenia się przed zdarzeniami takimi jak wykradzenie lub zniszczenie informacji. Sprawny system zabezpieczeń może działać odstraszająco lub skutecznie utrudnić realizację ataków zewnętrznych lub wewnętrznych. Wdrażając zabezpieczenia przed utratą bezpieczeństwa informacji, trzeba pamiętać, że minimalizują one ryzyka, ale nie likwidują całkowicie zagrożeń. Zgodnie z normą ISO 27001 podstawą budowy SZBI jest analiza ryzyka.

„Bezpieczeństwo informacji oznacza uzasadnione (np. analizą ryzyka i przyjętymi metodami postępowania z ryzykiem) zaufanie, że nie zostaną poniesione potencjalne straty wynikające z niepożądanego (przypadkowego lub świadomego) ujawnienia, modyfikacji, zniszczenia lub uniemożliwienia przetwarzania informacji przechowywanej, przetwarzanej i przesyłanej w określonym systemie jej obiegu” (Liderman 2012)

Według DMBOK wdrażanie zabezpieczeń danych w organizacji należy rozpocząć od analizy potrzeb biznesowych. Należy uwzględnić misję, wielkość, branżę i jej regulacje.  Najczęściej bezpieczeństwo informacji rozpatruje się w trzech wymiarach:

  • poufności – zapewnienia, że informacja nie jest udostępniana lub wyjawiana nieupoważnionym osobom;
  • integralności – zapewnienia, że informacja nie jest zmodyfikowana, usunięta lub dodana w sposób niewłaściwy;
  • dostępności – zapewnienia, że informacja jest możliwa do wykorzystania na żądanie, w założonym czasie, przez uprawnioną osobę.

Informacje wymagają ochrony niezależnie od nośnika: dokumentów papierowych, elektronicznych, systemów informatycznych z bazami danych, wiadomości e-mail, komunikatorów, połączeń głosowych, wiadomości SMS oraz bezpośredniego przekazywania między osobami. Zabezpieczenia informacji powinny być adekwatne do zagrożeń. Każdy rodzaj nośnika wymaga odrębnej analizy ryzyka i zabezpieczeń.

Wdrażanie zabezpieczeń musi uwzględniać konieczność zapewnienia efektywnego działania organizacji, ponieważ same zabezpieczenia mogą stać się zagrożeniem dla efektywności / celów organizacji a przynajmniej stanowić zagrożenie dla dostępności informacji.

Regulacje i dostępne rozwiązania koncentrują się na działania proaktywnych, które wymagają inwestycji finansowych. Jednocześnie przy szacowaniu budżetu warto mieć na uwadze że działania reaktywne generują zwykle wyższe koszty niż działania proaktywne.

Kluczowe dla bezpieczeństwa danych są działające procesy, procedury i usługi bezpieczeństwa wewnątrz organizacji. W standardach, dobrych praktykach, technikach, technologiach np. zarządzanie tożsamością, ograniczenia dostępu do danych, maskowania danych jest dostępna znaczna ilość rozwiązań, stąd wybór i decyzje o wdrożeniu wymagają szerokich analiz ryzyk, potrzeb, efektywności oraz budżetowych. System jest tak bezpieczny jak wszystkie elementy systemu.

W praktyce bardzo pomocną okazuje się Norma ISO 27001, porządkująca zagadnienia bezpieczeństwa w postaci 93 rodzajów zabezpieczeń, które powinny zostać przeanalizowane przez organizacje przez pryzmat ryzyka i potrzeby zastosowania. Norma grupuje zabezpieczenia w obszary:

  • organizacyjny np. podział odpowiedzialności, polityki dostępu;  
  • fizyczny np.  ochrona budynku, konserwacja sprzętu;
  • technologiczny np. szyfrowanie, systemy monitorowania sieci;
  • personalny np. zapisy w umowach o pracę, procedury kadrowe.

Według NIST, DMBOK oraz literatury branżowej jednym z pierwszych podstawowych działań dla właściwego wdrożenia SZBI jest klasyfikacja informacji. Klasyfikacja polega na określeniu grup informacji o podobnych potrzebach zabezpieczeń. Najczęściej stosuje się jako kryterium podziału regulacje prawne i potrzeby poufności uzyskując grupy np.: informacje do ogółu odbiorców, informacje do użytku wewnętrznego, informacje poufne. Identyfikuje się informacje wymagające szczególnej ochrony. Dzięki klasyfikacji można zróżnicować poziomy zabezpieczeń co za tym idzie koszty ich stosowania. Wdrożenie klasyfikacji wiąże się z koniecznością inwentaryzacji informacji i zarządzania metadanymi.

Skuteczność wdrożenia bezpieczeństwa informacji powinna być mierzona w celu uzyskania pewności że działa właściwie. Może być mierzona z wykorzystaniem audytów (w szczególności zewnętrznych), metryk obejmujących np. procent wdrożonych zaleceń audytu, trendów incydentów, statystyki operacji bezpieczeństwa, świadomości bezpieczeństwa.

Regulacje bezpieczeństwa danych a Ład danych

Z bezpośredniego brzmienia lub z semantyki pojęć, definicji i wymagań widać zbieżność pomiędzy regulacjami bezpieczeństwa informacji takimi jak zawarte w ISO 27001 oraz nowelizowanej KSC a Ładem danych wg. DMBOK. Wdrożenie SZBI wg. regulacji wymaga określenia ról, odpowiedzialności, polityk, standardów i procedur dotyczących zarządzania danymi. SZBI to system zarządzania ukierunkowany na bezpieczeństwo, ale definiując zasady niezbędne jest uwzględnienie biznesowych celów, strategii organizacji, wartości danych, kluczowych procesów. Z kolei wdrażając Ład danych według DBMOK, w szczególności opracowując strategie i inne zasady należy uwzględniać regulacje m in. dotyczące bezpieczeństwa danych. Porównując wytyczne można dostrzec podobieństwa bezpośrednie i semantyczne, m. in.:

Ład danych wg. DMBOKSystem Zarządzania Bezpieczeństwem Informacji
Polityki bezpieczeństwaPolityki bezpieczeństwa
Określenie ról i odpowiedzialności za zarządzanie danymi danych, w tym bezpieczeństwo.Określenie ról i odpowiedzialności za bezpieczeństwo informacji.
Zapewnienie dostępności danych dla procesów biznesowych.Zapewnienia dostępności – podstawowy atrybut bezpieczeństwa informacji.
Zarządzania metadanymi.Zarządzanie aktywami w tym prowadzenie ewidencji.
Zarządzanie jakością danych.Zapewnienie integralności – podstawowy atrybut bezpieczeństwa informacji.

Jeżeli organizacja wdrożyła wpierw Ład danych może ponieść mniejszy nakład pracy i kosztów przy wdrożeniu regulacji bezpieczeństwa takich jak nowelizacja KSC dzięki m.in. znajomości danych jakie są przetwarzane w organizacji, ich klasyfikacji, dostępności oraz właścicieli / opiekunów. Przy braku Ładu danych w organizacji wdrażając wzorcowo zasady bezpieczeństwa informacji, w tym SZBI, jednocześnie wdraża się elementy Ładu danych.

Regulacje takie jak nowelizacja KSC mogą stanowić jedną z uzasadnień wdrażania Ładu danych i uzyskania szerszych korzyści z zarządzania danymi.

Najlepsze praktyki zabezpieczania danych opisane są szczegółowo w rozdziale 6 najnowszego wydania DMBOK (2024).

Tekst jest rozwinięciem rozdziału “Bezpieczeństwo Danych” w publikacji Dane miejskie w praktyce. Podręcznik dla samorządów 2024.

Wykorzystane źródła:

Współpraca October 29, 2025 - 6_18AM

Obszary Współpracy w Ramach DAMA Poland

by with No Comment AktualnościDMBOK Wheel

Po sukcesie DAMA Day Warsaw kontynuujemy naszą misję, zapraszając do współpracy w trzech kluczowych obszarach tematycznych. Każdy z nich ma na celu nie tylko promocję Ładu Danych, ale również wzmacnianie rozpoznawalności DAMA Poland jako organizacji zrzeszającej ekspertów w tej dziedzinie.

1. Samorządy i sektor publiczny

Nasze działania w obszarze współpracy z samorządami i sektorem publicznym objęły już m. in.  już przygotowanie podręcznika dla jednostek samorządu terytorialnego pt. „Dane miejskie w praktyce”. Angażujemy się także w konsultacje społeczne dotyczące projektu do Strategii Rozwoju Polski do 2035 roku.

Osoba kontaktowa: Filip Dzięcioł (filip.dzieciol@damapoland.org)

Kanał Slack: #04-public-instytucje-publiczne

2. Współpraca zagraniczna

DAMA International jako struktura międzynarodowa oferuje szerokie możliwości współpracy. Obejmuje m. in. wymianę informacji o lokalnych wydarzeniach, dzielenie się doświadczeniami oraz planowaną realizację wspólnych projektów i inicjatyw na arenie krajowej i międzynarodowej. Przykładem działania w tym obszarze są Katalogi Wydarzeń, Rozwiązań i Organizacji czy Spotkania Data 5 O’Clock jako miejsce wymiany doświadczeń (na razie głównie lokalnych).

Osoba kontaktowa: Staszek Radomiński (stanislaw.radominski@damapoland.org)

Kanał Slack: #11-dama-international-coop

3. Uczelnie

Studia podyplomowe CDO to przykład już realizowanej współpracy z wyższą uczelnią. Rozważamy także szereg innych możliwości, takich jak organizacja konferencji naukowo-biznesowych, publikacje naukowe czy prowadzenie badań. Włączenie praktycznego know-how ze strony biznesu pozwoli nam tworzyć ciekawe i wartościowe inicjatywy na styku nauki i praktyki gospodarczej.

Osoba kontaktowa: Staszek Radomiński (stanislaw.radominski@damapoland.org)

Kanał Slack: #13-education-institutions-cooperation

4. Dalszy profesjonalny rozwój

Powyższe nie wyczerpują zagadnień i tematów, które są realizowane w naszej organizacji. DAMA Poland to także wiele innych inicjatyw, które mają na celu spójną prezentację tematyki, standardów oraz wyzwań związanych z zarządzaniem danymi i Ładem Danych. Należą do nich m. in.:

  • Badanie dojrzałości danych w polskich organizacjach, mające na celu ocenę poziomu dojrzałości zarządzania danymi w polskich firmach i instytucjach. Wyniki tych badań pomagają lepiej zrozumieć wyzwania oraz możliwości rozwoju w tym obszarze.
  • Wsparcie w procesie uzyskiwania certyfikacji CDMP (Certified Data Management Professional), w tym przygotowanie jak i organizacja samego egzaminu, jak i wymianę doświadczeń i dobrych praktyk.
  • Współpraca z innymi organizacjami działającymi w obszarach informatyki, zarządzania danymi oraz ochrony danych. Dzięki tej współpracy możliwa jest wymiana wiedzy, doświadczeń oraz wspólne wypracowywanie najlepszych praktyk w branży.

Zapraszamy do zgłaszania własnych inicjatyw oraz wspólnego rozwijania DAMA Poland!

_MG_0711

Warszawa stolicą zarządzania danymi: triumf wiedzy i innowacji podczas DAMA Day Warsaw

by with No Comment AktualnościArtykuły

18 września 2025 roku Warszawa zamieniła się w prawdziwe centrum polskiej społeczności data management. W przestrzeniach Cambridge Innovation Center odbyła się konferencja DAMA Day Warsaw, organizowana przez DAMA Poland Chapter, całodniowe wydarzenie poświęcone wszystkim najważniejszym aspektom zarządzania danymi, ich jakości, ochrony prywatności i roli w rozwoju sztucznej inteligencji.

Od samego rana uczestnicy tłumnie przybywali na miejsce, by odebrać materiały konferencyjne, spotkać znajomych z branży i porozmawiać z organizatorami. Oficjalne otwarcie wydarzenia poprowadzili Peter Aiken, prezes DAMA International, oraz Piotr Pietrzyk, prezes DAMA Poland Chapter. Podczas wystąpienia inauguracyjnego podkreślili, że dane stały się jednym z najważniejszych zasobów współczesnych organizacji, a umiejętność ich właściwego zarządzania jest kluczowa dla skuteczności biznesu. W tym kontekście ogłoszono również zapowiedź nowej edycji DAMA DMBOK® 3.0, która wprowadzi świeże spojrzenie na Data Governance, integrując m.in. rosnące znaczenie sztucznej inteligencji i automatyzacji w procesach zarządzania informacją.

Jednym z największych atutów konferencji był jej program, zaprojektowany w formule dwóch równoległych ścieżek: eksperckiej i partnerskiej. Dzięki temu uczestnicy mogli wybierać między wykładami o charakterze strategicznym i teoretycznym, a prezentacjami praktycznych wdrożeń przygotowanych przez partnerów. W ścieżce eksperckiej szczególnym zainteresowaniem cieszyły się prelekcje dotyczące łączenia Data Governance i Data Quality z wartością biznesową, prezentacje poświęcone wyzwaniom stojącym przed firmami w dobie rozwoju AI, a także inspirujący wykład Tiankai Feng „Humanizing Data Strategy”, który przypomniał, że technologia to tylko narzędzie, a prawdziwym sercem strategii danych są ludzie, ich kompetencje, komunikacja, współpraca i odpowiedzialność.

Ścieżka partnerska natomiast zdominowana była przez studia przypadków i przykłady wdrożeń, które wniosły do programu dużą dawkę praktycznej wiedzy. Eksperci z Deloitte i mBanku pokazali, jak w praktyce budować model zarządzania danymi w sektorze bankowym, PwC Polska skupiło się na kwestiach ochrony prywatności i bezpieczeństwa danych w kontekście rosnących cyberzagrożeń, a Ataccama zaprezentowała narzędzia pozwalające na automatyzację procesów zapewniania jakości danych. Ab Initio przedstawiło rozwiązania wspierające zarządzanie danymi w środowiskach multi-cloud, a Dawiso & ILUM podzieliły się wizją tworzenia fundamentów danych gotowych na rozwój agentów AI. Uczestnicy mieli także okazję wysłuchać prelekcji o projektowaniu i wdrażaniu Data Marketplace, znaczeniu Data Catalog w organizacjach oraz o tym, jak granularne podejście do Data Lineage przekłada się na lepszą kontrolę i transparentność procesów. To właśnie dzięki tym partnerom – Ataccamie, Deloitte, PwC Polska, Ab Initio, BitPeak oraz Dawiso & ILUM – program konferencji nabrał praktycznego wymiaru i pozwolił zobaczyć, jak najnowsze koncepcje i technologie są wdrażane w realnych projektach. W imieniu DAMA Poland Chapter serdecznie dziękujemy wszystkim partnerom, prelegentom i uczestnikom za ich wkład i zaangażowanie, to dzięki nim DAMA Day Warsaw stał się wydarzeniem, które nie tylko edukuje, ale także integruje społeczność i inspiruje do dalszego rozwoju.

Kulminacyjnym momentem konferencji był wieczorny egzamin CDMP® (Certified Data Management Professional), który odbył się w godzinach 18:00–19:30. Dla wielu uczestników była to długo wyczekiwana okazja, by oficjalnie potwierdzić swoje kompetencje w obszarze zarządzania danymi i zdobyć międzynarodowy certyfikat uznawany na całym świecie. Egzamin poprzedzony był przerwą techniczną oraz sesją Q&A, w trakcie której można było rozwiać ostatnie wątpliwości dotyczące przygotowania i formy testu.

Po części egzaminacyjnej uczestnicy spotkali się na koktajlu networkingowym, który stworzył idealną przestrzeń do nawiązania nowych kontaktów biznesowych, wymiany doświadczeń i podsumowania intensywnego dnia. Atmosfera była wyjątkowa, widać było, że środowisko data management w Polsce jest nie tylko coraz liczniejsze, ale i coraz bardziej świadome wyzwań oraz szans, jakie niesie przyszłość.

DAMA Day Warsaw 2025 udowodnił, że zarządzanie danymi w Polsce wychodzi poza wąskie grono ekspertów i staje się kluczowym tematem dla całych organizacji. Wystąpienia dotyczące nowych technologii, regulacji prawnych, sztucznej inteligencji i kultury organizacyjnej dowodzą, że dane to nie tylko technologia, ale fundament świadomego, odpowiedzialnego i innowacyjnego biznesu. Ta edycja konferencji umocniła pozycję DAMA Poland Chapter jako organizacji, która nie tylko uczy, ale i integruje środowisko specjalistów data management, inspirując do rozwoju kompetencji i wdrażania najlepszych praktyk.

autor: Dominika Pogudz DAMA Poland

JST_DAMA

Ład danych w administracji samorządowej – wyzwania, możliwość, konieczność

by with No Comment Artykuły

Wnioski i materiały z webinarium przygotowanego przez: Jarosław Banaś, Karol Berłowski, Andrzej Burzyński, Arkadiusz Dąbkowski, Filip Dzięcioł, Wojciech Łachowski w ramach współpracy DAMA Chapter Poland oraz sieci Analityków danych miejskich prowadzonej przez Instytut Rozwoju Miast i Regionów.

Niewidzialna ręka urzędów JST

Ogromne wolumeny danych wpływające na organizację życia każdego mieszkańca w Polsce są przetwarzane w urzędach Jednostek Samorządu Terytorialnego (JST) czyli w urzędach miast, województw, powiatów, gmin. JST gromadzą i przetwarzają dane nie tylko w zakresie bezpośrednio dotyczącym osób fizycznych np. danych meldunkowych, ale prawie w każdym zakresie dotyczącym naszego otoczenia np. architektury, transportu, edukacji, ochrony środowiska, bezpieczeństwa, wodociągów i wielu innych. Dane te służą podejmowaniu decyzji wpływających na organizację życia lokalnej społeczności np. dotyczące lokalizacji szkoły lub tras autobusów. Wybrane dane są przekazywana do rejestrów rządowych stanowiąc podstawę do decyzji na poziomie całego kraju lub Unii Europejskiej. Wybrane dane są udostępniane publicznie stanowiąc źródło referencyjnych danych dla wielu firm. Przetwarzanie danych w JST jest uregulowane licznymi branżowymi przepisami.

Ile Ładu danych jest w JST?

Według badań Unii Europejskiej w 2024 r. Polska zajęła 2 miejsce w badaniu dojrzałości otwierania danych państw UE, co może świadczyć znakomitym zarządzaniu danymi w polskiej administracji publicznej.

Źródło: Open data in Europe 2024 | data.europa.eu

Nieliczne dostępne krajowe badania zarządzania danymi w JST (naukowe oraz kontrole Najwyższej Izby Kontroli) koncentrują się najczęściej na zarządzaniu bezpieczeństwem informacji. Zgodnie z rozporządzeniami w sprawie Krajowych Ram Interoperacyjności od  2012 r. wszystkie JST powinny posiadać wdrożone Systemy Zarządzania Bezpieczeństwem Informacji (SZBI). Mimo tego obowiązku tylko ok 44-75% JST (w zależności od badanej grupy w okresie 2012-2024 r.) wdrożyło SZBI, a przy tym w większości niekompletnie. Wymagania ww. Rozporządzenia dla SZBI są oparte o normę ISO 27001 i są spójne z elementami bezpieczeństwa Ładu Danych opisanymi w Data Management Body of Knowledge (DMBoK). Obszar bezpieczeństwa jest jednym z fundamentów Ładu Danych. Części wspólne wymagań ww. Rozporządzenia oraz Ładu Danych obejmują kluczowe konieczności: określenia ról, przypisania odpowiedzialności, prowadzenia ewidencji (metadanych), określenia zasad dostępu i wielu innych regulacji organizacji pracy z danymi. Powyższe oznacza że badania zarządzanie bezpieczeństwem informacji mogą być wskaźnikiem wdrażania Ładu Danych w urzędach, a ich dostępne wyniki świadczą o znacznych problemach.

O Ładzie danych interaktywnie

Podczas webinarium „Czy Ład Danych w samorządzie jest możliwy?” przedstawiciele DAMA Poland Chapter podjęli dyskusję nad problematyką wdrożenia Ładu Danych w JST. Webinarium zostało zorganizowane 25.04.2025 jako spotkanie w ramach sieci Analityków danych miejskich prowadzonej przez Instytut Rozwoju Miast i Regionów. O potrzebie organizacji spotkania świadczy frekwencja – webinarium zainteresowało 156 przedstawicieli z 70 jednostek samorządowych.

Podczas spotkania Wojciech Łachowski przedstawił korzyści jakie może przynieść Ład Danych w JST, w tym: lepsze decyzje, transparentność, większa efektywność, rozwój usług cyfrowych. Zidentyfikował także główne bariery wprowadzania Ładu Danych w JST analogiczne do generalnych problemów transformacji cyfrowej JST, m.in. brak środków finansowych, opór przed zmianami, problem z zapewnieniem odpowiednich kompetencji, niejasne przepisy, dług technologiczny, zła organizacja pracy. Karol Berłowski rozwinął wybrane problemy. Działalność JST jest wręcz przeregulowana przez liczne, niespójne lub nawet sprzeczne przepisy branżowe. Powyższe jest m.in. przyczyną rozległego problemu ustalenia jednolitej definicji dla jakości danych i operacyjnego właścicielstwa danych. Znaczące nieustrukturyzowanie danych powoduje komplikacje technologiczne zarządzania. JST mają trudność aby pozyskać specjalistów i zaoferować warunki pracy konkurencyjne lub zbliżone wobec sektora prywatnego.

Źródło: opracowanie W. Łachowski, K. Berłowski

Mimo wielu problemów w niektórych urzędach podejmuje sią zaawansowane działania w celu usprawnienia zarządzania danymi czego przykładem jest Urząd Miasta Krakowa

Fundamenty

Podczas spotkania Filip Dzięcioł uwzględnił podstawy teoretyczne wskazując na kluczowe aspekty Ładu Danych wg. DMBoK, takie jak strategia, polityka, standardy, nadzór. Omówił podstawowe obszary Ładu Danych: architektura, modelowanie, składowanie i operacje, bezpieczeństwo, integracja i interoperacyjność, zarządzanie zawartością, dane główne i referencyjne, hurtowanie i analityka, metadane, zarządzanie jakością. Zaznaczył problematykę wdrożeniową w organizacji która już przetwarza dane, przedstawił koncepcję wdrożenia piramidy Aikena oraz wskazał rekomendacje implementacyjne.

Źródło: opracowanie F. Dzięcioł

Sprawdzone rozwiązania

Problemy są podobne w każdym urzędzie. Bazując na swoich doświadczeniach jako eksperta Urzędu Komisji Nadzoru Finansowego, potwierdzonych przykładami z realizacji podobnych projektów w administracji publicznej oraz instytucji finansowych, Andrzej Burzyński przedstawił praktyczne możliwości wdrożenia Ładu Danych. Rozpoczęcie wdrożenia można zacząć od pryncypiów uzgodnionych z kierownikami poszczególnych obszarów merytorycznych. To zapewnia identyfikację rzeczywistych potrzeb i umożliwia określenie ogólnej polityki zarządzania danymi, z której będą wynikały zasady zarządzania danymi. Potrzebne jest uwzględnienie ludzi – ról i odpowiedzialności, potrzeb procesów oraz modelu informacyjnego który usprawni dostęp do potrzebnych danych. Ogólne dokumenty strategiczne są niezbędne do realizacji działań w postaci projektów i usług. Konieczne jest zaangażowanie kadry kierowniczej, w tym najwyższego szczebla, z uwagi na potrzebę wprowadzenia struktury organizacyjnej zarządzania danymi – przypisania odpowiedzialności dla poszczególnych osób za zarządzania danymi, np. w poszczególnych komórkach merytorycznych właścicieli danych. Potrzebne jest powołanie zespołu prowadzącego zagadnienia wdrażania Ładu Danych, skupiającego kompetencje w tym obszarze, stanowiący wsparcie dla pozostałej części jednostki. Zespół wspiera rozwiązywanie szczegółowych problemów np. zarządzania jakością danych. Inne niezbędne działania to m.in. wdrożenie katalogu danych, zidentyfikowanie obszarów tematycznych danych, opracowanie definicji, określenie danych referencyjnych, opracowanie zasad przepływu danych. Wprowadzenie Ładu Danych nie wymaga znaczącego zwiększenia zatrudnienia lub radykalnej zmiany sposobu działania lecz skoordynowania i uspójnienia bieżącej działalności. Wprowadzenie może nastąpić małymi krokami w drodze ewolucji oraz pracy zespołowej całej organizacji. Podmioty przetwarzające dane dla swojej bieżącej działalności mają już pewne elementy organizacyjne które można wykorzystać, zmodyfikować lub rozwinąć w celu osiągnięcia Ładu Danych. Istnieje dużo gotowych metodyk i narzędzi informatycznych wspierających działania. 

Źródło: opracowanie A. Burzyński

Wsparcie jest dostępne

Podczas spotkania omówiono potrzeby zarządzania danymi w JST, problemy oraz ich teoretyczne i praktyczne rozwiązania na prawdziwych przykładach. Przykłady rzeczywistego wdrożenia Ładu Danych w polskiej administracji publicznej stanowią dowód że jest to dostępna i już sprawdzona metoda zarządzania także dla podobnych podmiotów – Jednostek Samorządu Terytorialnego. Arkadiusz Dąbkowski wskazał że gotowe wzorce zarządzania danymi można znaleźć w DMBoK, a kompetencje można rozwijać w społeczności DAMA Poland https://damapoland.org/.

Ład danych odpowiedzią bieżące potrzeby JST

Wobec planowanych zmian w przepisach dotyczących bezpieczeństwa informacji w JST (nowelizacji Ustawy o z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa) wprowadzanie zmian zarządzania danymi w obszarze bezpieczeństwa danych staje się dla JST koniecznością. Zmieniając sposób zarządzania danymi w obszarze bezpieczeństwa, JST muszą wprowadzić wewnętrzne regulacje i podjąć działania skutkujące jednoczesnym wprowadzeniem elementów Ładu Danych. Te elementy stanowią znakomity przyczółek do objęcia Ładem Danych także innych obszarów, jak np. dokumenty strategiczne, jakość, zarządzanie danymi podstawowymi i referencyjnymi. 

źródło: pixabay.com

Nagranie z webinarium jest dostępne na youtube:

Źródła przywoływanych badań:

  • D. Lisiak-Felicka, M. Szmit, Systemy Zarządzania bezpieczeństwem informacji w administracji samorządowej w Polsce – badanie empiryczne, „Przegląd Organizacji”, TNOiK 2023
  • D. Lisiak-Felicka, M. Szmit, Zarządzanie Bezpieczeństwem Informacji w Urzędach administracji samorządowej. Główne problemy, „Współczesny człowiek wobec wyzwań: szans i zagrożeń w cyberprzestrzeni aspekty społeczne-techniczne-prawne”, praca zbiorowa pod redakcją A. Kamińska-Nawrot, J. Grubicka, Uniwersytet Pomorski w Słupsku, Słupsk 2021
  • A. Sobczak, Ład danych jako element wdrażania koncepcji otwartego rządu, Roczniki Kolegium Analiz Ekonomicznych nr 46/2017, Kolegium Analiz Ekonomicznych Szkoły Głównej Handlowej w Warszawie,
  • https://data.europa.eu/en/publications/open-data-maturity/2024
  • https://www.nik.gov.pl/kontrole/P/18/006
  • https://www.nik.gov.pl/kontrole/P/24/004

Trwa rekrutacja na studia podyplomowe (2)

Chief Data Officer – Zarządzanie Danymi w Organizacji: nowe studia podyplomowe z DAMA Poland jako partnerem merytorycznym

by with No Comment Aktualności

W tym roku startuje pierwsza edycja studiów podyplomowych „Chief Data Officer – Zarządzanie Danymi w Organizacji”. Program ten powstał na Akademii Leona Koźmińskiego, we współpracy z DAMA Poland Chapter, Aigorithmics i AI Law Tech Foundation. Zachęcamy do zapoznania się z ofertą studiów.
Zaangażowaliśmy członków DAMA Poland Chapter, aby w trakcie zajęć podzielili się bogatym doświadczeniem akademickim oraz praktyczną wiedzą biznesową. Wśród wykładowców znaleźli się: Olga Burdzinska, Andrzej Burzyński, Marcin Choiński, Jaroslaw Chrupek, Maciej Konieczka, Maciej Nawrocki, Tomasz Nitsch i Marek Werulik.

Szczegóły dostępne na stronie ALK: https://www.kozminski.edu.pl/pl/oferta-edukacyjna/studia-podyplomowe/chief-data-officer-zarzadzanie-danymi-w-organizacji

Już 16.09 odbędzie się Dzień Otwarty ONLINE, na których będzie można poznać wykładowców i poznać więcej szczegółów. Zapisz się na Dzień Otwarty.

Uruchomienie kierunku było możliwe dzięki zaangażowaniu i współpracy Andrzeja Burzyńskiego, Karoliny Henzel, Ireneusza Wochlika, Martyny Wiącek i Katarzyny Rogalińskej-Gajewskiej.

Jest to dobry start dla wszystkich osób chcących rozpocząć lub przyśpieszyć swoją karierę w Data Management. Udział DAMA Poland Chapter zapewnia zgodność z DMBoK i możliwość dalszego rozwoju, w tym certyfikacji CDMP.