Konferencja „Bezpieczeństwo danych w sektorze publicznym”

Konferencja „Bezpieczeństwo danych w sektorze publicznym”.
Temat przewodni konferencji dotyczy problematyki ochrony danych osobowych ze szczególnym uwzględnieniem Europejskiego Rozporządzenia o Ochronie Danych Osobowych (RODO/GDPR).
Konferencja adresowana jest do osób zainteresowanych zagadnieniami związanymi z ochroną danych osobowych, ze szczególnym uwzględnieniem przedstawicieli jednostek administracji publicznej.

Konferencja

Tegoroczna edycja konferencji „Bezpieczeństwo danych w sektorze publicznym” odbędzie się w dn. 17 maja 2017 r. w Warszawie, przy ul. Solec 38 lok. 103.

Temat przewodni konferencji dotyczy problematyki ochrony danych osobowych ze szczególnym uwzględnieniem Europejskiego Rozporządzenia o Ochronie Danych Osobowych (RODO/GDPR).

Konferencja adresowana jest do osób zainteresowanych zagadnieniami związanymi z ochroną danych osobowych, ze szczególnym uwzględnieniem przedstawicieli jednostek administracji publicznej.

Udział w konferencji jest bezpłatny.

Przewidywany jest udział osobisty oraz udział zdalny (w wybranych częściach konferencji).

Formuła konferencji

Wiodącym celem zeszłorocznej edycji konferencji był wzrost świadomości zagadnień dotyczących bezpieczeństwa danych, ze szczególnym uwzględnieniem wymagań stawianych w jednostkach administracji publicznej.
W trakcie konferencji poruszone zostały techniczne, ekonomiczne oraz prawne aspekty związane z definiowaniem, utrzymaniem oraz doskonaleniem systemów zarządzania bezpieczeństwem informacji.

Tegoroczna edycja konferencji została pomyślana w ten sposób, aby na gruncie rezultatów pierwszej edycji konferencji, pójść o krok dalej i zaadresować nie tylko wzrost świadomości uczestników, ale także zapewnić możliwość wymiany doświadczeń oraz podzielenia się własnymi doświadczeniami a także katalizować budowanie nowych lub utrwalenia istniejących relacji.

Tegoroczna edycja konferencji będzie realizowana w formule zgodnie z którą:

  • Społeczność sympatyków, prelegentów oraz uczestników tego cyklu konferencji będzie budowana przed, pielęgnowana w trakcie oraz po jej zakończeniu.
  • Zorganizowana zostanie internetowa prekonferencja, w której uczestniczyć będzie można wyłącznie w sposób zdalny.
  • Przed rozpoczęciem konferencji odbędzie się nabór oraz głosowania w kategoriach:
    • MWS (Most Wanted Speaker) :: najbardziej pożądany wykładowca
    • MWQ (Most Wanted Question) :: najbardziej palące pytanie
    • MWT (Most Wanted Topic) :: najbardziej intrygujący temat
    • MWP (Most Wanted Proposal) :: najlepsza zgłoszona propozycja
  • Program konferencji będzie podzielony na części, a każda z nich będzie miała inną formułę – od wykładów plenarnych zaproszonych prelegentów, przez dyskusję z ekspertem, po wystąpienia uczestników:
    • Część 1 konferencji obejmuje wykłady plenarne osób zajmujących się zawodowo praktyką ochroną danych osobowych. Pierwsza część konferencji będzie realizowana w formule wykładowej (wykłady będą strumieniowane przez Internet).
    • Część 2 konferencji poświęcona jest kontroli przetwarzania danych osobowych. Druga część konferencji będzie realizowana w formule dyskusji z zaproszonym ekspertem (z GIODO).
    • Część 3 konferencji dotyczy zagadnień związanych z przygotowaniem do wdrożenia unijnego rozporządzenia o ochronie danych osobowych. Formuła tej części konferencji to World Cafe (propozycje tematów zgłaszane przez uczestników, które w dalszej części omawiane są przy stolikach tematycznych).
    • Część 4 konferencji przewiduje serię 5-minutowych wystąpień dotyczących problematyki konferencji, które zostały zgłoszone przez przedstawicieli instytucji sektora publicznego. Formuła: Ignite Talk (prezentacje złożone są z 20 slajdów, a slajdy przełączane są co 15 sekund).
  • Opracowane zostaną materiały pokonferencyjne będące udokumentowaniem wszystkich aktywności związanych z tegoroczną edycją konferencji: od materiałów wykładowych, przez wnioski z dyskusji oraz komentarze uczestników.
  • Zorganizowana zostanie internetowe spotkanie pokonferencyjne w ramach którego wystąpią eksperci związani z Polskim Towarzystwem Informatycznym.

Szczegółowe informacje dostępne są na stronie konferencji.

Jak wykorzystać Rozporządzenie w sprawie KRI do tworzenia systemu ochrony danych osobowych

W trakcie zorganizowanej przez PTI Konferencji „Bezpieczeństwo danych w sektorze publicznym” miałem przyjemność wygłosić prelekcją na temat wykorzystania „Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych”, w tworzeniu systemu ochrony danych osobowych.

Wynikający z Rozporządzenia obowiązek stworzenia systemu zarządzania bezpieczeństwem informacji w podmiotach realizujących zadania publiczne (więc nie tylko w urzędach!), zaczyna powoli przebijać się do świadomości osób odpowiedzialnych za bezpieczeństwo informacji. Skutkuje to, częstym na szkoleniach i konferencjach pytaniem: „Co Pan mówi?! Czego wy od nas chcecie?! Nie dość, że mamy stworzyć politykę bezpieczeństwa danych osobowych, to jeszcze mamy mieć drugą politykę bezpieczeństwa informacji?”.

W trakcie prezentacji starałem się pokazać, że nie tylko nie musimy powielać zapisów z polityki bezpieczeństwa danych osobowych w polityce bezpieczeństwa informacji, ale powinniśmy dążyć do scalenia i ujednolicenia tych systemów. Opracowany na podstawie § 20 Rozporządzenia system zarządzania powinien umożliwić prawidłowy dobór zabezpieczeń.

Zgodnie z ustawą o ochronie danych osobowych „Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną(…)”. Ale jakie środki będą „właściwe”? Podmioty realizujące zadania publiczne, dobierając zabezpieczenia powinny opierać się na analizie ryzyka przeprowadzonej zgodnie z Rozporządzeniem (§ 20 ust. 2. pkt 3)).

Oczywiście, polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznych służącym do przetwarzania danych osobowych muszą zawierać wszystkie wymagane elementy. Przykładowo, wykaz zbiorów danych i opis struktury, nie będą częścią systemu zarządzania bezpieczeństwem informacji. Jednak „określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych”, możemy włączyć już do systemu zarządzania bezpieczeństwem informacji.

Prezentację można pobrać ze strony Konferencji.

Zachęcam również do zapoznania się z pozostałymi prezentacjami i udziału w kolejnych edycjach.

 

Jarosław Żabówka