Rejestr systemów IT: po co firmie spis narzędzi i kto za nie odpowiada?

Spis ograniczony do programów z licencjami pomija dokładnie te miejsca, które są najbardziej kruche. Program ma dostawcę, kopie zapasowe i historię zmian. Arkusz na czyimś dysku nie ma żadnej z tych rzeczy, a bywa jedynym miejscem, gdzie zapisano ceny z ostatnich dwóch lat.

• Program: system z dostawcą, licencją i wsparciem.
• Arkusz: plik, który stał się bazą danych, zwykle bez wiedzy kogokolwiek poza autorem.
• Dysk albo folder: miejsce na dokumenty, często bez ustalonych uprawnień.
• Skrzynka pocztowa: kolejka zamówień albo zgłoszeń, do której ma dostęp jedna osoba.
• Komunikator: miejsce ustaleń, których nie ma nigdzie indziej.
• Papier: segregator, który nadal jest jedynym źródłem dla części spraw.

• System krytyczny bez właściciela: firma bez niego staje, a nikt za niego nie odpowiada.
• Jedyne miejsce danych: utrata systemu oznacza utratę danych, nie tylko przerwę w pracy.
• Arkusz jako jedyne źródło: bez historii zmian i bez kopii, a przy tym łatwy do nadpisania.
• System wygaszany, który nadal jest jedynym źródłem: najpierw przeniesienie danych, dopiero potem wyłączenie.
• Dwa systemy trzymające te same dane bez wskazania, który jest wiodący. Przy rozbieżności nikt nie wie, który ma rację.

Zsumowany koszt roczny bywa osobnym zaskoczeniem. Kilkanaście narzędzi po kilkaset złotych miesięcznie, opłacanych z różnych kart przez różne osoby, nigdy nie pojawia się w jednym zestawieniu, dopóki ktoś nie zrobi tego spisu.

Wymagania dotyczące cyberbezpieczeństwa i korzystania z systemów AI opisaliśmy osobno, bo to tematy prawne z własnymi progami i terminami. Jeśli szukasz, kogo dotyczy NIS2 albo jakie obowiązki niesie AI Act, otwórz strony poświęcone tym tematom. Tutaj chodzi wyłącznie o porządek we własnym spisie narzędzi.

Jeden przykład pokazuje związek wprost. RODO w art. 32 ust. 1 lit. c wymienia wśród środków bezpieczeństwa zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Arkusz z danymi klientów, oznaczony w rejestrze jako jedyne źródło i bez kopii, jest dokładnie tym miejscem, w którym tej zdolności brakuje.

Bez listy systemów każda taka rozmowa zaczyna się od zbierania informacji, kto czego używa. Z listą zaczyna się od tabeli, która już istnieje. W konkretnej sprawie warto skonsultować się z prawnikiem albo inspektorem ochrony danych.

• Rodzaje obejmują program, arkusz, dysk albo folder, skrzynkę pocztową, komunikator, papier i inne, bo system to nie tylko program.
• Zaznaczenie „to jedyne miejsce, w którym są te dane” wymusza wpisanie, czego dokładnie system jest jedynym źródłem.
• Nad tabelą stoją trzy kafelki: Wymaga uwagi, Jedyne źródło danych i Koszt roczny, przeliczony na rok bez opłat jednorazowych i bez systemów wyłączonych.
• Kolumna „Na co uważać” wypisuje ostrzeżenia wprost, na przykład „Arkusz jako jedyne źródło danych: bez historii zmian i bez kopii”.
• Systemu oznaczonego jako jedyne źródło nie da się wyłączyć. Najpierw przeniesienie danych, potem odznaczenie, dopiero potem zmiana stanu.
• Stany to Używany, Wygaszany i Wyłączony, a zmiana zapisuje się od razu z listy.
• Karta systemu ma panel Powiązania, a przepływ danych między systemami zapisuje się relacją „zasila danymi”, bez osobnej tabeli integracji.

Rejestr systemów spotyka się też z procesami: krok procesu ma pole Systemy, w którym wpisuje się, na czym się go wykonuje. Listę systemów da się wyeksportować do pliku CSV. Wdrożenia otwieramy przez listę oczekujących.