Data Governance : Ein umfassender Leitfaden

A Data Governance ist ein formelles Dokument, das die Regeln, Standards und Prozesse festlegt, nach denen ein bestimmter Aspekt der Daten im gesamten Unternehmen verwaltet wird. Richtlinien setzen die Governance-Strategie in operative Anweisungen um, die von den Teams einheitlich befolgt werden können.

Ohne schriftlich festgelegte Richtlinien besteht die Unternehmensführung aus informellen Erwartungen, die je nach Team, Person und Umständen variieren. Mit schriftlich festgelegten Richtlinien sind die Regeln eindeutig, durchsetzbar und überprüfbar.

Dieser Leitfaden erläutert, was Data Governance sind, welche Arten jede Organisation benötigt, was die einzelnen Richtlinien enthalten sollten, wie man sie verfasst und umsetzt und wie man sie im Zuge der Weiterentwicklung der Organisation auf dem neuesten Stand hält.

Was ist eine Data Governance ?

Eine Data Governance ist ein formalisierter Katalog von Regeln und Leitlinien, der festlegt, wie Daten innerhalb der Organisation verwaltet, geschützt, genutzt und aus dem Verkehr gezogen werden sollen. Richtlinien greifen auf einer konkreteren Ebene als ein Framework das Framework die übergeordnete Verantwortungsstruktur, während die Richtlinien die spezifischen Regeln innerhalb dieser Struktur festlegen.

Eine Data Governance beantwortet drei Fragen hinsichtlich ihres Geltungsbereichs:

• Was ist erforderlich? Die jeweils geltenden spezifischen Vorschriften, Normen oder Grenzwerte.
• Wer ist verantwortlich? Die Personen, die für die Einhaltung und Durchsetzung der Richtlinie verantwortlich sind.
• Wie wird sie durchgesetzt? Die Prozesse, Kontrollen und Konsequenzen, die dafür sorgen, dass die Richtlinie nicht nur ein Wunschziel bleibt, sondern tatsächlich umgesetzt wird.

Richtlinien unterscheiden sich von Grundsätzen (übergeordneten Werten, die als Leitlinien für Entscheidungen dienen), Standards (spezifischen technischen Anforderungen, die Richtlinien untermauern) und Verfahren (schrittweisen Anweisungen zur Umsetzung der Anforderungen aus den Richtlinien). Ein umfassendes Governance-Programm benötigt alle vier Komponenten, doch Richtlinien bilden die Ebene, die die übergeordnete Strategie mit der operativen Rechenschaftspflicht verbindet.

Warum Data Governance wichtig sind

Einhaltung gesetzlicher Vorschriften: Die Bußgelder im Rahmen der DSGVO haben seit Beginn der Durchsetzung 6 Milliarden Euro überschritten. Verstöße gegen den CCPA werden mit Strafen von bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß geahndet. Die zivilrechtlichen Strafen nach dem HIPAA belaufen sich auf bis zu 1,9 Millionen US-Dollar pro Verstoßkategorie und Jahr. Die Aufsichtsbehörden prüfen nicht nur, ob Unternehmen über Daten verfügen – sie prüfen auch, ob diese über dokumentierte und durchgesetzte Richtlinien für den Umgang mit diesen Daten verfügen. Schriftlich festgelegte Richtlinien, deren Durchsetzung nachweisbar ist, verringern das regulatorische Risiko.

Konsequente Durchsetzung: Ohne schriftlich festgelegte Richtlinien werden Governance-Entscheidungen von verschiedenen Teams und Einzelpersonen unterschiedlich getroffen. Dieselbe Anfrage auf Datenzugriff wird von einem Manager genehmigt und von einem anderen abgelehnt. Derselbe Qualitätsstandard wird in einem Bereich streng angewendet und in einem anderen ignoriert. Richtlinien sorgen für eine einheitliche Umsetzung, unabhängig davon, wer die Entscheidung trifft.

Bereitschaft: Wenn Aufsichtsbehörden, Wirtschaftsprüfer oder Rechtsabteilungen nachfragen, wie Daten verwaltet werden, dienen schriftliche Richtlinien als Nachweis. Unternehmen, die dokumentierte, mit Datumsangaben versehene Richtlinien mit Versionshistorie und Nachweisen zur Durchsetzung vorlegen können, befinden sich in einer grundlegend anderen Prüfungssituation als Unternehmen, die ihre Governance-Praktiken nur mündlich beschreiben.

Operative Effizienz:KlareRichtlinien beseitigen Unklarheiten, die zu Ad-hoc-Anfragen zu Daten und Rückständen bei Zugriffsanfragen führen. Unternehmen mit ausgereiften Governance-Richtlinien verzeichnen eine Reduzierung des Zeitaufwands für datenbezogene Anfragen um 30 bis 50 Prozent. Die Teams halten sich an die Richtlinien, anstatt jeden Sonderfall weiterzuleiten.

Vertrauen in KI und Analytik: KI-Modelle und Analyseinitiativen, die auf unkontrollierten Daten basieren, liefern unzuverlässige Ergebnisse. Richtlinien, die Qualitätsstandards, Zugriffskontrollen und die Zertifizierung Training festlegen, schaffen die Grundlage für Vertrauen, wodurch KI-Initiativen vertretbar und reproduzierbar werden.

Die acht wichtigsten Arten Data Governance

1. Richtlinie zu Dateneigentum und Datenverwaltung

Was dabei behandelt wird: Wie das Eigentum an Daten zugewiesen wird, welche Verantwortlichkeiten damit verbunden sind, wie die Rollen der Datenverwalter definiert werden und wie die Rechenschaftspflicht bei organisatorischen Veränderungen gewahrt bleibt.

Kernpunkte:

• Definition der Rolle des Dateneigentümers: oberste geschäftliche Verantwortung für einen Bereich, Entscheidungsbefugnisse hinsichtlich Nutzung und Zugriff sowie Förderung der Datenverwaltung innerhalb des Bereichs.
• Definition der Rolle des Datenverwalters: Verantwortung für den täglichen Betrieb, Pflege des Glossars, Qualitätsüberwachung, Bearbeitung von Zugriffsanfragen.
• Zuweisungsprozess: Wie wird die Zuständigkeit für neue Datenbereiche zugewiesen, und was geschieht, wenn ein Verantwortlicher das Unternehmen verlässt?
• Eskalationspfad: Wie Streitigkeiten über Eigentumsfragen oder Verwaltungsentscheidungen beigelegt werden.
• Abdeckungsanforderung: Der Prozentsatz der Datenbestände, denen bis zu einem festgelegten Datum ein Verantwortlicher zugewiesen sein muss.

Beispiel für eine Richtlinie: Für jeden Datenbereich, der regulatorischen Anforderungen unterliegt oder geschäftskritische Analyseabhängigkeiten aufweist, muss innerhalb von 30 Tagen nach Identifizierung des Bereichs ein namentlich benannter Datenverantwortlicher zugewiesen werden. Der Datenverantwortliche ist für die Richtigkeit, die ordnungsgemäße Verwendung und die Einhaltung der Vorschriften in Bezug auf alle Datenbestände innerhalb des Bereichs verantwortlich.

2. Richtlinie zur Datenklassifizierung

Was wird behandelt: Wie Datenbestände nach ihrer Sensibilität klassifiziert werden, welche Klassifizierungsstufen es gibt und welche Kontrollmaßnahmen auf jeder Stufe gelten.

Standard-Klassifizierungsstufen:

Kernpunkte:

• Klassifizierungstaxonomie mit klaren Definitionen für jede Stufe.
• Kriterien für die Einstufung: Welche Merkmale bestimmen, Datensatz welche Stufe ein Datensatz fällt.
• Anforderungen an die automatisierte Klassifizierung: Welche Datentypen müssen automatisch statt manuell klassifiziert werden?
• Neuklassifizierungsprozess: Wie die Klassifizierung überprüft und aktualisiert wird, wenn sich die Datenmerkmale ändern.
• Verantwortung der Eigentümer: Die Dateneigentümer sind dafür verantwortlich, dass die Bestände ihres Bereichs korrekt klassifiziert werden.

3. Richtlinie zur Zugriffskontrolle auf Daten

Was darin geregelt wird:WerZugriff auf welche Daten hat, wie der Zugriff beantragt und genehmigt wird, wie der Zugriff überprüft und widerrufen wird und wie Zugriffsentscheidungen protokolliert werden.

Kernpunkte:

• Prinzip der geringsten Berechtigungen: Benutzern werden nur die Zugriffsrechte gewährt, die für ihre definierte Rolle und ihren Geschäftszweck erforderlich sind.
• Ablauf des Zugriffsantragsverfahrens: Wie beantragen Nutzer den Zugriff, welche Angaben sind in einem Antrag erforderlich, wer prüft und genehmigt ihn und wie lautet die SLA eine Entscheidung?
• Genehmigungsberechtigte: Welche Rollen können den Zugriff auf Daten in den einzelnen Geheimhaltungsstufen genehmigen? Für Daten mit eingeschränkter Zugänglichkeit ist die Genehmigung durch den Verantwortlichen und den Eigentümer erforderlich. Für vertrauliche Daten ist die Genehmigung durch den Verantwortlichen erforderlich.
• Häufigkeit der Zugriffsprüfung: Wie oft werden bestehende Zugriffsberechtigungen überprüft? Der Zugriff auf eingeschränkte Daten wird vierteljährlich überprüft. Der Zugriff auf vertrauliche Daten wird jährlich überprüft.
• Widerrufsprozess: Wie der Zugriff widerrufen wird, wenn ein Nutzer die Rolle Nutzer , die Organisation verlässt oder den Zugriff für seine geschäftlichen Zwecke nicht mehr benötigt.
• Protokollierung von Prüfvorgängen: Jede Zugriffsanfrage, Genehmigung, Ablehnung und Widerruf wird mit einem Zeitstempel, der Identität des Antragstellers, der Identität des Genehmigers und einer Begründung protokolliert.

Beispiel für eine Richtlinie: Kein Nutzer ohne einen genehmigten, aktenkundigen Zugriffsantrag auf eingeschränkte Daten zugreifen. Zugriffsanträge für eingeschränkte Daten müssen die Identität des Antragstellers, die geschäftliche Begründung, den Verwendungszweck und die beantragte Dauer enthalten. Genehmigungen erfordern die Zustimmung sowohl des Datenverantwortlichen der Domäne als auch des Dateneigentümers. Alle Genehmigungen und Ablehnungen werden in der Governance-Plattform protokolliert.

4. Richtlinie zur Datenqualität

Inhalt:DieQualitätsstandards, die Daten erfüllen müssen, um zertifiziert zu werden, wie die Qualität gemessen wird, wer für die Überwachung und Korrekturmaßnahmen verantwortlich ist und was geschieht, wenn die Qualität unter festgelegte Schwellenwerte fällt.

Kernpunkte:

• Qualitätsdimensionen: Die spezifischen Dimensionen, die für jeden Datenbereich gelten – Genauigkeit, Vollständigkeit, Beständigkeit, Aktualität, Gültigkeit, Eindeutigkeit.
• Qualitätsschwellenwerte: Die spezifischen zulässigen Schwellenwerte für jede Dimension in jedem Bereich. Beispiel: Kundendatensätze müssen eine Vollständigkeitsrate von über 95 %, eine Nullwertquote von unter 3 % bei Pflichtfeldern und ein Aktualitätsalter von unter 24 Stunden aufweisen.
• Messansatz: Wie wird die Qualität gemessen – durch automatisierte Profilerstellung, Validierungsregeln oder manuelle Überprüfung – und in welchen Abständen?
• Zertifizierungskriterien: Die Kombination aus Qualitätsbewertungen und der Überprüfung durch einen Steward, die dazu führt, dass ein Asset den zertifizierten Status erhält.
• Vorgangsablauf: Wie Qualitätsmängel gemeldet, zugewiesen, priorisiert und behoben werden. SLAs für die Behebung nach Schweregrad.
• Verantwortung der Eigentümer: Die Dateneigentümer sind für die Qualität der Assets ihres Bereichs verantwortlich. Anhaltende Qualitätsmängel, die unter festgelegte Schwellenwerte fallen, werden an den Eigentümer weitergeleitet.

Beispiele für Qualitätsschwellenwerte nach Fachgebiet:

5. Richtlinie zur Datenaufbewahrung und zum Datenlebenszyklus

Inhalt: Wie lange verschiedene Datenkategorien aufbewahrt werden, wann Daten archiviert werden, wann sie gelöscht werden und wie Lebenszyklusregeln durchgesetzt werden.

Kernpunkte:

• Aufbewahrungsfristen nach Datenkategorie: die Mindest- und Höchstaufbewahrungsfristen für jeden Datentyp, die sich aus den gesetzlichen Anforderungen und den geschäftlichen Erfordernissen ergeben.
• Archivierungsregeln: Wenn Daten je nach Alter und Nutzung vom aktiven Speicher in den Archivspeicher verschoben werden.
• Löschvorschriften: Wie Daten nach Ablauf der Aufbewahrungsfrist endgültig gelöscht werden, einschließlich der Standards für die sichere Löschung sensibler Daten.
• Verfahren zur Aufbewahrungspflicht: Wie Daten, die einer Aufbewahrungspflicht im Rahmen eines Rechtsstreits unterliegen, von den üblichen Löschfristen ausgenommen werden.
• Verfahren zur Ausübung des Rechts auf Löschung: Wie Löschungsanträge gemäß DSGVO und CCPA bearbeitet werden, einschließlich der Ermittlung aller Systeme, in denen die Daten der betroffenen Person gespeichert sind, und der Bestätigung der Löschung in allen diesen Systemen.
• Verantwortung der Eigentümer: Die Dateneigentümer sind dafür verantwortlich, sicherzustellen, dass für die Datenbestände ihrer Domäne Aufbewahrungsrichtlinien umgesetzt werden.

Beispiele für Aufbewahrungsfristen:

6. Datenschutzerklärung

Inhalt:Wiepersonenbezogene Daten erhoben, genutzt, geschützt und gelöscht werden und wie die Organisation ihren Verpflichtungen gemäß den geltenden Datenschutzbestimmungen nachkommt.

Kernpunkte:

• Rechtsgrundlage für die Verarbeitung: Die Rechtsgrundlage gemäß der DSGVO oder den geltenden Vorschriften für jede Kategorie personenbezogener Daten, die die Organisation verarbeitet.
• Datenminimierung: Die Verpflichtung, nur die für den festgelegten Zweck erforderlichen personenbezogenen Daten zu erheben und diese zu löschen, sobald der Zweck erfüllt ist.
• Zweckbindung: Personenbezogene Daten, die für einen bestimmten Zweck erhoben wurden, dürfen ohne ausdrückliche Einwilligung oder eine neue Rechtsgrundlage nicht für einen anderen Zweck verwendet werden.
• Rechte des Einzelnen: Verfahren zur Bearbeitung von Anträgen betroffener Personen – Recht auf Auskunft, Recht auf Berichtigung, Recht auf Löschung, Recht auf Datenübertragbarkeit, Widerspruchsrecht.
• Maßnahmen bei Datenschutzverletzungen: Der Prozess zur Erkennung, Eindämmung, Bewertung und Meldung von Datenschutzverletzungen, einschließlich der in der DSGVO festgelegten Meldepflicht innerhalb von 72 Stunden.
• Grenzüberschreitende Übermittlungen: Die geltenden Vorschriften und Schutzmaßnahmen bei der Übermittlung personenbezogener Daten außerhalb des Rechtsraums, in dem sie erhoben wurden.

7. Richtlinie zur Datensicherheit

Geltungsbereich:Dietechnischen und organisatorischen Kontrollmaßnahmen, die Daten vor unbefugtem Zugriff, Datenlecks, Verlust und Beschädigung schützen.

Kernpunkte:

• Verschlüsselungsstandards: Verschlüsselungsanforderungen für Data-at-Rest übertragene Data-at-Rest nach Klassifizierungsstufe. Eingeschränkte und vertrauliche Daten müssen im Ruhezustand mit AES-256 oder einem gleichwertigen Verfahren verschlüsselt werden. Für alle übertragenen Daten ist TLS 1.2 oder höher erforderlich.
• Authentifizierungsanforderungen: Für den Zugriff auf Systeme, die eingeschränkte oder vertrauliche Daten enthalten, ist eine Multi-Faktor-Authentifizierung erforderlich.
• Netzwerksicherheit: Anforderungen an die Segmentierung, Firewall-Regeln und Überwachungsanforderungen für Systeme, die sensible Daten enthalten.
• Endgerätesicherheit: Anforderungen an Geräte, die für den Zugriff auf sensible Daten verwendet werden: Verschlüsselung, Fernlöschfunktion, zugelassene Software.
• Incident Response: Der Prozess zur Erkennung, Eindämmung, Untersuchung und Behebung von Sicherheitsvorfällen, einschließlich der Meldepflichten bei Datenschutzverletzungen, die personenbezogene Daten betreffen.
• Sicherheit durch Dritte: Anforderungen an Anbieter und Partner, die auf die Daten des Unternehmens zugreifen oder diese verarbeiten.

8. Datenschutzrichtlinie für KI und Maschinelles Lernen

Geltungsbereich:DieGovernance-Anforderungen, die gelten, wenn Daten zum trainieren, Bewerten oder Betreiben von KI- und Maschinelles Lernen verwendet werden.

Kernpunkte:

• Zertifizierung von Trainingsdaten: Jeder Datensatz , der zum trainieren feinabstimmen Modells Datensatz , muss zertifiziert sein – Qualitätsbewertung über einem festgelegten Schwellenwert, Überprüfung der PII-Klassifizierung abgeschlossen, Herkunft dokumentiert, Freigabe durch den Verantwortlichen hinsichtlich der Eignung für den beabsichtigten KI-Einsatz.
• Kontrollen für sensible Daten: Daten mit Zugangsbeschränkungen dürfen ohne ausdrückliche Genehmigung des Dateneigentümers und des AI-Governance-Verantwortlichen nicht in Training gelangen. Automatisierte Prüfungen vor der Datenaufnahme müssen Daten mit Zugangsbeschränkungen kennzeichnen, bevor diese die Training erreichen.
• Anforderungen an die Modellhistorie: Für jede Modellversion im Produktivbetrieb müssen die Versionen Training , die Logik der Merkmalsaufbereitung, die Hyperparameter und die Auswertungsergebnisse dokumentiert werden.
• Ausgabekontrolle: KI-Ergebnisse in risikoreichen Bereichen – Kreditentscheidungen, medizinische Empfehlungen, Einstellungsentscheidungen, Betrugswarnungen – erfordern Arbeitsabläufe zur Überprüfung durch Menschen sowie entsprechende Protokolle.
• Bias-Bewertung: Training für Modelle, die weitreichende Entscheidungen treffen, müssen vor dem Einsatz des Modells einer Bias-Bewertung unterzogen werden.
• Einhaltung gesetzlicher Vorschriften: KI-Systeme, die dem EU-KI-Gesetz oder einer gleichwertigen Verordnung unterliegen, müssen vor Deployment gemäß den geltenden Anforderungen dokumentiert werden.

So verfassen Sie eine Data Governance

Schritt 1: Festlegen des Geltungsbereichs – Nennen Sie den spezifischen Aspekt der Data Governance Richtlinie abdeckt, sowie die Datenbereiche, Systeme und Teams, für die sie gilt. Eine Richtlinie, die für alles gilt, ist eine Richtlinie, die nichts konsequent regelt.

Schritt 2: Den Zweck darlegen – Schreiben Sie ein bis zwei Sätze, in denen Sie erläutern, warum die Richtlinie existiert: Welches Risiko sie mindert, welche regulatorischen Anforderungen sie erfüllt oder welches Geschäftsergebnis sie unterstützt. Dieser Kontext hilft den Mitarbeitern zu verstehen, warum sie die Richtlinie befolgen sollten.

Schritt 3: Definieren Sie die Regeln klar und deutlich – Formulieren Sie jede Regel als konkrete, überprüfbare Aussage. „Daten müssen ordnungsgemäß verwaltet werden“ ist keine Richtlinienregel. „Kunden-PII müssen im Ruhezustand mit AES-256 oder einem gleichwertigen Verfahren verschlüsselt werden und dürfen nicht auf nicht verwalteten Endgeräten gespeichert werden“ ist eine Richtlinienregel.

Schritt 4: Verantwortlichkeiten zuweisen –Legen Sie fest, welche Stellen für die Einhaltung der Richtlinie verantwortlich sind und welche für deren Durchsetzung zuständig sind. Für jede Richtlinie muss ein Verantwortlicher benannt werden, der dafür sorgt, dass sie auf dem neuesten Stand bleibt.

Schritt 5: Festlegung der Durchsetzung – Beschreiben Sie, wie die Einhaltung der Richtlinie gemessen und überwacht wird. Legen Sie die Konsequenzen bei Nichteinhaltung sowie den Eskalationspfad im Falle von Verstößen fest.

Schritt 6: Legen Sie einen Überprüfungsrhythmus fest – Jede Richtlinie benötigt einen festgelegten Überprüfungstermin – mindestens einmal jährlich oder wenn sich regulatorische Anforderungen ändern, wenn sich die Datenumgebung des Unternehmens erheblich verändert oder wenn ein Compliance-Vorfall eine Lücke aufdeckt.

Schritt 7: Genehmigung einholen und veröffentlichen –Richtlinienmüssen vor ihrer Veröffentlichung von einer zuständigen Stelle – dem Data Governance , dem CDO oder der zuständigen Compliance-Leitung – genehmigt werden. Veröffentlichte Richtlinien müssen für alle Personen zugänglich sein, für die sie gelten.

Umsetzung von Data Governance

Beginnen Sie mit den Bereichen mit dem höchsten Risiko: Führen Sie zunächst Richtlinien für die Datenbereiche ein, die das größte regulatorische Risiko oder Geschäftsrisiko bergen: personenbezogene Kundendaten, Finanzberichtsdaten, geschützte Gesundheitsdaten. Eine umfassende Richtlinienabdeckung für alle Bereiche braucht Zeit. Der Einstieg bei den Bereichen mit dem höchsten Risiko sorgt sofort für Compliance-Vorteile.

einbetten in die Tooling-Umgebung: Richtlinien, die durch manuelle Prozesse durchgesetzt werden, verlieren mit der Zeit an Wirksamkeit. Ein Datenkatalog und eine Governance-Plattform automatisieren die Durchsetzung von Richtlinien: Zugriffskontrollrichtlinien werden zum Zeitpunkt der Anfrage angewendet, die Qualitätsüberwachung läuft kontinuierlich, Klassifizierungstags werden automatisch zugewiesen und Protokolle ohne manuellen Aufwand gepflegt. Richtlinien, die in Tools kodiert werden können, werden konsequenter durchgesetzt als solche, bei denen darauf vertraut wird, dass sich die Mitarbeiter an ihre Einhaltung erinnern.

trainieren ihnen unterstellten Mitarbeitertrainieren : Datenverantwortliche, Datenverwalter, Ingenieure und Analysten müssen verstehen, was die Richtlinien von ihnen verlangen. Die Schulungen sollten rollenspezifisch sein – ein Datenverwalter benötigt andere Training zu den Richtlinien Training ein Dateningenieur – und sollten wiederholt werden, wenn sich die Richtlinien wesentlich ändern.

Einhaltung messen:Definieren SieKennzahlen für jede Richtlinie: Prozentsatz der Datenbestände mit Klassifizierungstags, Prozentsatz der innerhalb SLA bearbeiteten Zugriffsanfragen, Entwicklung der Qualitätsbewertung nach Domäne, Prozentsatz der KI-Modelle in der Produktion mit zertifizierten Training . Überprüfen Sie diese Kennzahlen in den Berichten des Governance-Programms. Richtlinien, die nicht gemessen werden, werden nicht durchgesetzt.

Regelmäßige Überprüfung und Aktualisierung:RegulatorischeAnforderungen ändern sich. Datenumgebungen entwickeln sich weiter. Unternehmen wachsen. Richtlinien, die vor zwei Jahren verfasst wurden, decken möglicherweise neue Datentypen, neue Vorschriften oder neue Anwendungsfälle für KI nicht ab. Planen Sie jährliche Überprüfungen aller Richtlinien ein und leiten Sie bei wesentlichen Änderungen umgehend eine Überprüfung ein.