Our S.O.S. line:
+49 89 262 025954
Our team of experts is ready to assist your organization in the event of a cyberattack.
details
Minél több rendszerben és folyamatban jelennek meg az adatok, annál nehezebb egyértelmű választ adni néhány alapvető kérdésre:
GRC-szempontból ezek nemcsak adatmenedzsment-kérdések. Ha egy szervezet nem látja át megfelelően az adatvagyonát, nehezebbé válik a felelősségek kijelölése, a kontrollok működtetése, a kockázatok értékelése, valamint annak igazolása is, hogy az adatokat a saját szabályainak megfelelően kezeli.
A Microsoft Purview Data Governance ezt az átláthatóságot és irányíthatóságot támogatja. Két fontos eleme a Data Map és a Unified Catalog: előbbi elsősorban az adatvagyon technikai feltérképezését, utóbbi pedig az adatok üzleti kontextusba helyezését segíti.
A következőkben azt mutatjuk be, hogyan kapcsolódik ez a két terület az adatvagyon kezeléséhez, a felelősségi körök kialakításához és a szervezeti kontrollok működéséhez.
Az adatirányítás egyik alapvető célja annak biztosítása, hogy a szervezet működésében, riportjaiban és elemzéseiben felhasznált adatok megtalálhatók, értelmezhetők, megbízhatók és megfelelően kezeltek legyenek. Ehhez önmagában nem elegendő tudni, hogy egy adatbázis vagy fájl létezik. Ismernünk kell annak üzleti jelentését, tulajdonosát, kapcsolatait, minőségét és felhasználási környezetét is.
Ez különösen fontos abban az esetben, amikor egy szervezetben az adatkezelési felelősség nem csak az IT feladata. Az infrastruktúrát vagy az adatot kezelő platformot az IT üzemeltetheti, de a legtöbb esetben nemcsak ők dolgoznak a szervezeti adatokkal, hanem a pénzügy, a HR, az értékesítés vagy egyéb üzleti területek is.
A federált megközelítés is arra mutat rá, hogy a központi adatirányítás határozza meg az egységes elveket és követelményeket, míg az egyes üzleti területek adatgazdái és szakértői saját területükön viselik az operatív governance felelősségét. GRC oldalról ez kifejezetten előnyös, mert nem kizárólag központi ellenőrzést jelent, hanem egyértelmű felelősségi és döntési szerepköröket is meghatároz.
A megfelelő governance egyik legfontosabb előfeltétele a láthatóság. Nehéz ugyanis szabályt alkotni vagy felelőst kijelölni olyan adatokhoz, amelyek létezéséről a szervezetnek nincs tudomása.
A Purview Data Map ezt a technikai alapot biztosítja és segít összefogni a szervezet különböző rendszereiben tárolt adatait. A data discovery és a data governance segítségével egyrészt képes összefogni az analitikai, SaaS, hibrid, helyi vagy akár a multicloud rendszer adatait és az ezekből kinyert metaadatokat egységes helyre gyűjteni össze, másrészt a beépített szkennelésnek és osztályozásnak köszönhetően folyamatosan frissíteni is. Így nem folyamatosan újabb másolatokat készít az adatokról, hanem egy biztonságos azonosítási módszert alkalmaz, mivel az önmagában nem biztosít hozzáférést az üzleti adatokhoz.
GRC-szempontból a Data Map értéke ezért abban áll, hogy egyrészt bizonyítékot ad az adatvagyonról, másrészt meghatározza annak körét. A szervezetet így nem korlátozza, az általa használt alkalmazások vagy infrastruktúrák adatkezelésének határai, mivel a nála található adatokról platformfüggetlen nyilvántartást alakíthat ki. Egy szervezetnek hatalmas előnyt jelent, amikor az incidenskezelés, kockázatelemzés vagy változáskezelés folyamán egy egységes felületen tudja végrehajtani a szükséges lépéseket. A Data Map data lineage képessége az adatok és adattermékek közötti kapcsolatok feltérképezését támogatja. Ez nemcsak az adatok eredetének és útjának azonosítását gyorsítja fel, hanem egy riportban megjelenő hibás adat esetén is segít visszakövetni annak forrását, valamint feltárni, hogy a hiba milyen további adatokra, riportokra vagy adattermékekre lehet hatással.
A Data Map önmagában elsősorban azt segít megérteni, hogy mit tartalmaz az szervezet adatvagyona. A következő kérdés azonban az, hogy ebből mit és hogyan lehet üzletileg hasznosítani. Egy technikailag pontos katalógust nem feltétlen lehet önmagában felhasználni, ugyanis egy oszlop vagy egy adatbázis tábla neve nem sokat mond egy vezetőnek vagy szakértőnek arról, hogy melyik a hivatalos ügyféllista vagy melyik riport használható egy adott döntéshez.
A Unified Catalog ezt a technikai adatvagyont helyezi üzleti kontextusba. Az adatok un. governance domainekbe szervezhetők, adatproduktumok alakíthatók ki, üzleti fogalmak kapcsolhatók hozzájuk, valamint adatminőségi és hozzáférési folyamatok rendelhetők az egyes területekhez.
GRC-szempontból a governance domainek egyik legfontosabb szerepe, hogy egyértelmű felelősségi határokat alakítanak ki az adatvagyonon belül. Egy domainen belül közösen kezelhetők az adatproduktumok, üzleti fogalmak, felelősök és szabályok, a struktúra pedig kialakítható például üzleti funkciók, adatdomainek, projektek vagy szabályozási területek mentén. Ezzel lehetővé teszik, hogy az adatirányítás kizárólag egy központi csapat feladata legyen.
Az adatirányítás egyik legnagyobb problémája, amikor ugyanazt a fogalmat különböző területek eltérő módon értelmezik, így akár két technikailag hibátlan riport is eltérő eredményt mutathat. A Unified Catalog glossary erre a problémára közös üzleti szókészletet alakított ki, amivel nemcsak az egységes értelmezést segíti, hanem a kontrollok skálázhatóságát is.
A megfelelően szabályozott adat nem feltétlenül jelenti, hogy megbízható adatokkal rendelkezünk. Egy riport lehet megfelelő jogosultságokkal védett, miközben hiányos, elavult vagy pontatlan adatokra épül.
GRC-szempontból ez azért is fontos, mert az adatminőséget nem pusztán egy szubjektív megállapodás határozza meg, hanem mérhető elvárások és visszakövethető eredmények, amelyek támogatják a kontrollok felülvizsgálatát és a problémák kockázatalapú priorizálását.
Az adatirányítás az adat megtalálásával nem ér véget, az csak a kezdetet jelenti az egész folyamat során. Nagyon fontos tényező az is, hogy az adat milyen célból, milyen feltételek és milyen jóváhagyási rend mellett használható fel.
Fontos kiemelni, hogy az örökölhető szabályok nem helyettesítik az adatforrás saját jogosultságkezelését. Bizonyos hozzáférések biztosítása továbbra is külön technikai vagy manuális lépéseket igényel a Purview használata mellett is.
A Data Governance valódi értéke nem egy újabb katalógus létrehozásában rejlik, hanem az adatvagyon technikai információinak az üzleti jelentésekkel, felelősökkel és kontrollokkal való összekapcsolásában.
Ennek a modellnek köszönhetően könnyebben meghatározható, mely adatok kritikusak, ki felel értük, milyen minőségű elvárások vonatkoznak rá vagy akár milyen célból használhatók, ezzel erősítve a kockázatalapú döntéshozatalt, az auditálhatóságot és a kontrollok következetes működését.
Ugyanakkor érdemes kiemelni, hogy a Purview nem alakít ki önmagában egy irányítási rendszert, továbbra is a szervezetnek kell meghatároznia a felelősségi köröket, az elfogadható adatminőséget, a felhasználási szabályokat és a kockázati prioritásokat.
GRC-szempontból végső soron a cél, hogy ne csak tudjuk, hogy milyen adatokkal rendelkezünk, hanem azt is értsük meg ki felel értük, milyen szabályok vonatkoznak rájuk, mennyire megbízhatóak, és hogyan tudjuk őket következetesen irányítani. A Purview Data Governance ezekre a kérdésekre biztosít egy olyan keretet, amivel a munkát nem helyettesíti a szervezeten belül, hanem gyorsítja és megkönnyíti az adatok irányítását és átláthatóságát.
Ha többet szeretne tudni a témáról, keresse GRC csapatunkat! Irányítási, kockázatkezelési és megfelelőségi szolgáltatások | White Hat IT Security
A heti GRC Szerda cikkünkben azt mutatjuk be, hogyan lesz a szabályzatból működő technikai kontroll, hogyan kapcsolódik össze a GRC és az adatbiztonság a gyakorlatban és hogyan támogatja ezt a Microsoft Purview Data Security. Az adatbiztonság alapelvei nem változtak: a [...]
