Gobierno de datos

La gobernanza de datos es el marco de propiedad, estándares, políticas y procesos que determina cómo se definen, gestionan, protegen y utilizan los datos de una organización. Abarca quién es responsable de cada conjunto de datos, cómo se mantiene la calidad, quién puede acceder a qué información, cómo se acuerdan las definiciones, cuánto tiempo se conservan los datos y cómo se cumplen las obligaciones regulatorias.

Su reputación de burocracia excesiva se debe en gran medida a programas que parten de documentos de política en lugar de abordar problemas reales. Una iniciativa de gobernanza que genera un marco integral, una estructura de comités y un conjunto de políticas antes de tratar cualquier dificultad real se cumplirá mínimamente y se ignorará en la medida de lo posible. Los programas que parten de un problema específico, como cifras de ingresos contradictorias o una solicitud de acceso que nadie pudo satisfacer, generan credibilidad y respaldan el trabajo en general.

La propiedad es el elemento que determina si todo lo demás funciona. La mayoría de los problemas de datos persisten porque la responsabilidad está diluida: el sistema que produce los datos pertenece a un equipo, el flujo de datos a otro, la generación de informes a un tercero y el problema de calidad a nadie. Designar un responsable para cada conjunto de datos importante, encargado de su definición, calidad y decisiones de acceso, convierte las quejas recurrentes en tareas asignables.

La clasificación es la base práctica tanto para la seguridad como para el cumplimiento normativo. Saber qué datos son personales, cuáles son sensibles, cuáles son confidenciales comercialmente y cuáles son públicos determina qué controles se aplican, y las organizaciones que nunca han clasificado sus datos no pueden responder preguntas básicas sobre dónde reside la información personal. Esto se agrava cuando llega una solicitud de acceso o eliminación de datos y la organización descubre que desconoce todas las ubicaciones donde se encuentran dichos datos.

El control de acceso debe equilibrar la protección con la usabilidad, y ambos fallos son frecuentes. Un acceso excesivamente restrictivo genera el problema del análisis en la sombra, donde los usuarios extraen datos a hojas de cálculo para realizar su trabajo, creando copias no controladas que anulan por completo los controles. Un acceso excesivamente permisivo genera riesgos regulatorios y comerciales. El acceso basado en roles, con un proceso de solicitud sencillo que otorga lo mínimo necesario y facilita el acceso legítimo, evita ambos problemas.

Con frecuencia, no existe una política de retención de datos, y la práctica de conservarlos indefinidamente supone un riesgo de incumplimiento normativo y un coste. Los regímenes de protección de datos generalmente exigen que los datos personales no se conserven durante más tiempo del necesario para la finalidad para la que fueron recabados, lo que requiere una finalidad declarada y un periodo definido. Además del cumplimiento normativo, los datos retenidos deben protegerse, migrarse y buscarse en caso de incidente, por lo que la retención indefinida conlleva costes y riesgos constantes.

Catalogar lo que existe es un requisito previo que las organizaciones suelen pasar por alto. Un catálogo de datos que registre qué conjuntos de datos existen, dónde se encuentran, qué contienen, quién los posee y cómo se pueden usar, convierte un mapa implícito almacenado en la memoria individual en un recurso compartido. Sin él, los nuevos analistas pasan semanas buscando fuentes, los conjuntos de datos existentes se reconstruyen porque nadie sabía que existían, y la evaluación del impacto antes de un cambio de sistema se convierte en una mera conjetura.

Las obligaciones regulatorias han convertido la gobernanza en una práctica indispensable para la mayoría de las organizaciones, en lugar de una opción. Los regímenes de protección de datos exigen bases legales documentadas, registros del procesamiento, la capacidad de garantizar los derechos individuales y una rendición de cuentas demostrable; además, los requisitos específicos de cada sector añaden obligaciones adicionales. Las organizaciones sin gobernanza no pueden demostrar el cumplimiento, incluso cuando sus prácticas son adecuadas.

Debido a que la gobernanza abarca decisiones legales, técnicas y operativas y requiere autoridad para hacerla cumplir, falla cuando se delega por completo a un equipo técnico. En la práctica, el marco y la estructura de rendición de cuentas se establecen a través de Planificación estratégica y consultoría, las definiciones y la medición de la calidad se encuentran con análisis de datosLos controles de acceso y los mecanismos de retención son implementados por el Departamento de TIy las obligaciones son más estrictas para las organizaciones que manejan información sensible como salud proveedores.