Gegevensbeheer

Datagovernance is het raamwerk van eigendom, standaarden, beleid en processen dat bepaalt hoe de data van een organisatie wordt gedefinieerd, beheerd, beschermd en gebruikt. Het omvat wie verantwoordelijk is voor elke dataset, hoe de kwaliteit wordt gewaarborgd, wie toegang heeft tot welke data, hoe definities worden overeengekomen, hoe lang data wordt bewaard en hoe aan wettelijke verplichtingen wordt voldaan.

De reputatie als bureaucratische rompslomp is grotendeels te danken aan programma's die beginnen met beleidsdocumenten in plaats van met concrete problemen. Een governance-initiatief dat een alomvattend kader, een commissiestructuur en een reeks beleidsmaatregelen oplevert voordat er aandacht wordt besteed aan de daadwerkelijke problemen waar mensen mee worstelen, zal minimaal worden nageleefd en waar mogelijk genegeerd worden. Programma's die beginnen met een specifiek probleem, zoals tegenstrijdige inkomstencijfers of een toegangsverzoek waaraan niemand kon voldoen, bouwen geloofwaardigheid op die het bredere werk ondersteunt.

Eigenaarschap is het element dat bepaalt of al het andere functioneert. De meeste dataproblemen blijven bestaan ​​omdat de verantwoordelijkheid verspreid is: het systeem dat de data produceert, behoort tot het ene team, de dataverwerkingsketen tot een ander, de rapportage tot een derde, en het kwaliteitsprobleem tot niemand. Door voor elke belangrijke dataset een verantwoordelijke eigenaar aan te wijzen, die verantwoordelijk is voor de definitie, kwaliteit en toegang tot de dataset, worden terugkerende klachten omgezet in toewijsbare taken.

Classificatie vormt de praktische basis voor zowel beveiliging als compliance. Weten welke gegevens persoonlijk, gevoelig, commercieel vertrouwelijk en openbaar zijn, bepaalt welke controles van toepassing zijn. Organisaties die hun gegevens nooit hebben geclassificeerd, kunnen geen antwoord geven op basisvragen over waar persoonlijke informatie zich bevindt. Dit wordt acuut wanneer een verzoek om inzage of verwijdering van persoonsgegevens binnenkomt en de organisatie ontdekt dat zij niet weet waar alle gegevens zich bevinden.

Toegangscontrole moet een evenwicht vinden tussen bescherming en gebruiksgemak, en beide vormen van falen komen vaak voor. Te restrictieve toegang leidt tot het probleem van schaduwanalyse, waarbij mensen gegevens in spreadsheets kopiëren voor hun werk, waardoor ongecontroleerde kopieën ontstaan ​​die de controles volledig omzeilen. Te ruime toegang brengt risico's met zich mee op het gebied van regelgeving en commerciële belangen. Op rollen gebaseerde toegang met een eenvoudig aanvraagproces, waarbij het minimaal noodzakelijke wordt verleend maar legitieme toegang gemakkelijk te verkrijgen is, voorkomt beide problemen.

Een bewaarbeleid ontbreekt vaak, en de standaardprocedure om alles voor onbepaalde tijd te bewaren, vormt zowel een compliance-risico als een kostenpost. Wetgeving inzake gegevensbescherming vereist over het algemeen dat persoonsgegevens niet langer worden bewaard dan nodig is voor het doel waarvoor ze zijn verzameld. Dit vereist een duidelijk omschreven doel en een vastgestelde periode. Naast de naleving van de regelgeving moeten bewaarde gegevens worden beveiligd, gemigreerd en doorzoekbaar zijn in geval van een incident. Onbepaalde bewaring brengt dus voortdurende kosten en risico's met zich mee.

Het in kaart brengen van bestaande gegevens is een essentiële voorwaarde die organisaties vaak overslaan. Een datacatalogus die vastlegt welke datasets er zijn, waar ze zich bevinden, wat ze bevatten, wie de eigenaar is en hoe ze gebruikt kunnen worden, transformeert een impliciete kaart in het geheugen van individuen in een gedeelde bron. Zonder zo'n catalogus besteden nieuwe analisten weken aan het vinden van bronnen, moeten bestaande datasets opnieuw worden opgebouwd omdat niemand wist dat ze bestonden, en is een impactanalyse voorafgaand aan een systeemwijziging gebaseerd op giswerk.

Door wettelijke verplichtingen is governance voor de meeste organisaties onvermijdelijk geworden in plaats van optioneel. Regelgeving inzake gegevensbescherming vereist gedocumenteerde wettelijke grondslagen, registratie van verwerkingen, de mogelijkheid om individuele rechten te waarborgen en aantoonbare verantwoording. Sectorspecifieke eisen voegen daar nog extra verplichtingen aan toe. Organisaties zonder governance kunnen zelfs niet aantonen dat ze aan de regels voldoen, ook al is hun werkwijze adequaat.

Omdat governance juridische, technische en operationele beslissingen omvat en autoriteit vereist om deze af te dwingen, faalt het wanneer het volledig aan een technisch team wordt gedelegeerd. In de praktijk worden het raamwerk en de verantwoordingsstructuur opgezet via strategische planning en adviseringDe definities en kwaliteitsmetingen hangen samen met Data analyticsDe toegangscontrole- en bewaarmechanismen worden geïmplementeerd door de IT afdelingen de verplichtingen zijn het strengst voor organisaties die gevoelige informatie verwerken, zoals volksgezondheid providers.