Data Governance

Datastyrning är ramverket för ägarskap, standarder, policyer och processer som avgör hur en organisations data definieras, hanteras, skyddas och används. Det omfattar vem som är ansvarig för varje datauppsättning, hur kvaliteten upprätthålls, vem som får åtkomst till vad, hur definitioner avtalas, hur länge data lagras och hur lagstadgade skyldigheter uppfylls.

Dess rykte om sig som byråkratiskt påkostat arbete förtjänas till stor del av program som börjar med policydokument snarare än med problem. Ett styrningsinitiativ som tar fram ett omfattande ramverk, en kommittéstruktur och en uppsättning policyer innan man tar itu med något som någon faktiskt kämpade med kommer att följas minimalt och ignoreras där det är möjligt. Program som börjar med en specifik smärta, såsom motstridiga intäktssiffror eller en åtkomstförfrågan som ingen kunde uppfylla, bygger upp trovärdighet som stöder det bredare arbetet.

Ägarskap är den faktor som avgör om något annat fungerar. De flesta dataproblem kvarstår eftersom ansvaret är diffust: systemet som producerar data tillhör ett team, pipelinen till ett annat, rapporteringen till ett tredje och kvalitetsproblemet tillhör ingen. Att utse en ansvarig ägare för varje betydande dataset, ansvarig för dess definition, kvalitet och åtkomstbeslut, omvandlar återkommande klagomål till tilldelningsbart arbete.

Klassificering är den praktiska grunden för både säkerhet och efterlevnad. Att veta vilka uppgifter som är personliga, vilka som är känsliga, vilka som är kommersiellt konfidentiella och vilka som är offentliga avgör vilka kontroller som gäller, och organisationer som aldrig har klassificerat sina uppgifter kan inte svara på grundläggande frågor om var personlig information finns. Detta blir akut när en begäran om åtkomst eller radering kommer in och organisationen upptäcker att den inte känner till varje plats uppgifterna finns på.

Åtkomstkontroll måste balansera skydd mot användbarhet, och båda fellägena är vanliga. Alltför restriktiv åtkomst skapar problemet med skugganalys, där människor extraherar data till kalkylblad för att utföra sitt arbete och skapar okontrollerade kopior som helt omintetgör kontrollerna. Alltför tillåtande åtkomst skapar regulatorisk och kommersiell exponering. Rollbaserad åtkomst med en enkel förfrågningsprocess, som beviljar det minsta nödvändiga samtidigt som det gör legitim åtkomst lätt att erhålla, är det som undviker båda.

Lagringspolicy saknas ofta, och det faktum att allt lagras på obestämd tid är både en efterlevnadsrisk och en kostnad. Dataskyddssystem kräver i allmänhet att personuppgifter inte lagras längre än nödvändigt för det ändamål de samlades in för, vilket kräver ett angivet syfte och en definierad period. Utöver efterlevnad måste lagrade data säkras, migreras och sökas igenom vid varje incident, så obestämd lagring medför löpande kostnader och risker.

Att katalogisera det som existerar är en förutsättning som organisationer ofta hoppar över. En datakatalog som registrerar vilka datamängder som finns, var de finns, vad de innehåller, vem som äger dem och hur de kan användas omvandlar en implicit karta som lagras i individuella minnen till en gemensam tillgång. Utan den lägger nya analytiker veckor på att upptäcka källor, befintliga datamängder återuppbyggs eftersom ingen visste att de existerade, och konsekvensbedömningar före en systemförändring är gissningar.

Reglerande skyldigheter har gjort styrning oundviklig snarare än valfri för de flesta organisationer. Dataskyddssystem kräver dokumenterade lagliga grunder, register över behandling, förmågan att uppfylla individuella rättigheter och påvisbar ansvarsskyldighet, och sektorspecifika krav medför ytterligare skyldigheter. Organisationer utan styrning kan inte bevisa efterlevnad även om deras praxis är adekvat.

Eftersom styrning omfattar juridiska, tekniska och operativa beslut och kräver befogenhet för att verkställa dem, misslyckas den när den delegeras helt till ett tekniskt team. I praktiken etableras ramverket och ansvarsstrukturen genom strategisk planering och konsultation, definitionerna och kvalitetsmätningarna passar uppgifter analytics, åtkomstkontrollerna och lagringsmekanismerna implementeras av IT-avdelning, och skyldigheterna är strängast för organisationer som hanterar känslig information såsom hälsa leverantörer.