Einhaltung gesetzlicher Vorschriften und die unterstützenden Governance-Kontrollen

Die meisten Unternehmen entdecken die Diskrepanz zwischen Data Governance und Compliance im denkbar schlechtesten Moment: Eine Prüfungsanfrage trifft ein und das Team stellt fest, dass die verfassten Richtlinien nicht sauber mit den Nachweisen übereinstimmen, die sie erbringen können. Das darauf folgende Chaos – die Rekonstruktion der Access History, das Suchen nach Data Ownern, die Dokumentation von Kontrollen, die nie formell definiert wurden – ist vermeidbar.

Governance liefert das Betriebsmodell und die Control Plane, die dabei helfen, die für die Einhaltung gesetzlicher Vorschriften erforderlichen Audit-Trails zu generieren und aufzubewahren. Ein gut geführtes Governance-Programm kann dazu beitragen, die regulatorische Compliance über mehrere regulatorische Frameworks hinweg nachhaltiger zu gestalten. Es kann dabei helfen, regulatorische Vorgaben in durchsetzbare Kontrollen zu überführen, die kontinuierliche Sicherung von Audit-Belegen zu gewährleisten und bestehende Kontrollen für unterschiedliche Verpflichtungen wiederzuverwenden.

Im Datenkontext bedeutet die Einhaltung gesetzlicher Vorschriften die Erfüllung externer rechtlicher, vertraglicher und branchenspezifischer Verpflichtungen in Bezug auf die Erfassung, Verarbeitung, den Schutz, die Freigabe, die Aufbewahrung und die Löschung von Daten. DSGVO, CCPA, HIPAA, PCI DSS, SOX, DORA, NIS2 und aufkommende KI-Vorschriften definieren jeweils unterschiedliche rechtliche, sektorale oder operative Erwartungen, aber viele von ihnen stützen sich auf dieselben Kontrollfamilien: Data Classification, Zugriffskontrolle, Audit-Trails, Aufbewahrung, Reaktion auf Sicherheitsverletzungen und nachweisbare Verantwortlichkeit.

Ein Governance-First-Ansatz hilft Unternehmen dabei, diese Kontrollen einmalig zu erstellen, sie vielen Verpflichtungen zuzuordnen und Nachweise bereitzuhalten, bevor ein Prüfer danach fragt.

Data Governance und Einhaltung gesetzlicher Vorschriften

Um zu verstehen, wie eng Governance und Compliance miteinander verbunden sind, ist es hilfreich, die operative Kette als Rückgrat zu betrachten: Richtlinie → Kontrolle → Audit-Trail → Nachweis.

Eine rechtliche oder regulatorische Anforderung beginnt in der Regel als Formulierung in einem Gesetz, einem Standard, einem Vertrag oder einem Audit-Framework. Für das Datenteam muss diese Formulierung in eine Reihe von Entscheidungen übersetzt werden: welche Spalten personenbezogene Daten enthalten, welche Tabellen geschützte Gesundheitsinformationen umfassen, welche Rollen Klartextwerte abfragen können, welche Zeilen je nach Region sichtbar sein sollten, wie lange ein Datensatz aufbewahrt werden sollte und wer eine Ausnahme genehmigen kann.

Governance bildet das System of Record für diese Entscheidungen. Wenn beispielsweise ein Data Steward eine Spalte als sensibel klassifiziert, ein Datenschutz-Tag hinzufügt, eine:n Eigentümer:in definiert und das Dataset einer Aufbewahrungsregel zuordnet, können die Plattformteams diese Standards anschließend in Maskierungsrichtlinien, Row Access Policies, rollenbasierte Zugriffskontrollen und Monitoring übersetzen. Und Compliance-Teams können dann die operative Kontrolle wieder der Verpflichtung zuordnen, die sie unterstützt – unabhängig davon, ob es sich bei dieser Verpflichtung um Datenminimierung, das Prinzip der geringsten Rechte (Least-Privilege-Zugriff), Aufgabentrennung, Aufbewahrung, Löschung oder die Reaktion auf Sicherheitsverletzungen handelt.

Die Audit-Bereitschaft ergibt sich aus derselben Kette. Anstatt Nachweise im Nachhinein zusammenzustellen, kann das Unternehmen Lineage, den Klassifizierungsverlauf, die Access History, Richtlinienänderungen und Genehmigungen als Teil der normalen Datenoperationen aufbewahren. Das macht Audits zwar nicht mühelos und ersetzt auch nicht die Notwendigkeit einer rechtlichen Auslegung, aber es macht die Beweiserhebung schneller und zuverlässiger, da die Audit-Trails, der Richtlinienverlauf und die Genehmigungsdatensätze, die die Teams benötigen, aufbewahrt werden, bevor ein:e Prüfer:in danach fragt.

Sehen Sie sich an, wie DraftKings die Einhaltung gesetzlicher Vorschriften in großem Maßstab meistert:

Vorschriften unterscheiden sich in Formulierung, Umfang und Durchsetzungsmodell, aber viele von ihnen stellen dieselben grundlegenden Fragen zu Daten:

• Welche Daten haben Sie?
• Wo werden sie gespeichert und verwendet?
• Wer kann darauf zugreifen?
• Wie werden sensible Daten geschützt?
• Wie lange werden sie aufbewahrt?
• Können Sie nachweisen, was passiert ist, wenn sich etwas ändert, fehlschlägt oder darauf zugegriffen wird?
• Können Sie reagieren, wenn eine Einzelperson, eine Aufsichtsbehörde, ein:e Prüfer:in oder ein:e Kund:in nach einem Nachweis fragt?

Um diese Fragen zufriedenstellend zu beantworten, ist eine gemeinsame Reihe von Kontrollfamilien erforderlich:

• Datenklassifizierung und Inventarisierung: Unternehmen müssen personenbezogene Daten, Zahlungsdaten, Gesundheitsdaten, Finanzberichtsdaten, betriebskritische Daten und andere sensible Kategorien identifizieren, bevor sie die richtigen Richtlinien anwenden können. Die Klassifizierung hilft Teams auch dabei, den Umfang regulatorischer Verpflichtungen zu bestimmen, da für eine Tabelle, die Kundenkennungen, den Transaktionsverlauf oder geschützte Gesundheitsinformationen enthält, möglicherweise andere Anforderungen gelten als für eine Tabelle mit aggregierten operativen Metriken.
• Zugriffskontrolle und Durchsetzung von Richtlinien: Vorschriften hängen oft davon ab, den Zugriff auf die richtigen Personen für den richtigen Zweck zu beschränken. Least-Privilege-Zugriff, rollenbasierter Zugriff, Maskierung, Einschränkungen auf Zeilenebene und Genehmigungs-Workflows helfen dabei, dieses Prinzip in durchsetzbare Kontrollen umzuwandeln.
• Audit-Trails und Nachweise: Compliance-Programme benötigen Aufzeichnungen, die zeigen, wer auf Daten zugegriffen hat, wann darauf zugegriffen wurde, was geändert wurde und welche Kontrollen angewendet wurden. Audit-Trails unterstützen auch die Attestierung, die Überprüfung von Vorfällen und die interne Verantwortlichkeit.
• Aufbewahrung und Löschung: Datenschutz-, Finanz-, Gesundheits- und Branchenvorschriften verlangen von Unternehmen oft, bestimmte Datensätze für einen festgelegten Zeitraum aufzubewahren und andere Daten zu löschen, wenn sie nicht mehr benötigt werden. Governance hilft dabei, Aufbewahrungslogik mit Datenkategorien, Eigentümer:innen und Lebenszyklusrichtlinien zu verknüpfen, anstatt Löschentscheidungen Ad-hoc-Beurteilungen zu überlassen.
• Workflows für Reaktionen und Sicherheitsverletzungen: Wenn ein Vorfall auftritt, müssen Teams verstehen, welche Daten betroffen waren, welche Systeme involviert waren, wer Zugriff hatte und welche Benachrichtigungen möglicherweise erforderlich sind. Klassifizierung, Lineage und Access History helfen Sicherheits-, Rechts- und Compliance-Teams dabei, von einem generischen Vorfalldatensatz zu einem datenspezifischen Reaktions-Workflow überzugehen.

Diese gemeinsame Kontrollebene ermöglicht es einem einzigen Governance-Programm, viele Vorschriften gleichzeitig zu unterstützen. Die Bezeichnungen mögen sich von einer Verpflichtung zur anderen ändern, aber das Unternehmen muss dennoch wissen, welche Daten es hat, wie sie kontrolliert werden und welche Nachweise belegen, dass die Kontrolle wie vorgesehen funktioniert hat.

Datenschutzvorschriften konzentrieren sich auf die Rechte von Einzelpersonen in Bezug auf ihre Daten, nicht nur auf die Sicherheit von Systemen. Wenn beispielsweise ein Kundendatensatz, eine Mitarbeiterakte oder eine Gerätekennung durch Marketing-, Support-, KI- oder andere Workflows wandert, muss das Unternehmen wissen, wo sich diese Daten befinden, warum sie verarbeitet werden, wer sie verwenden darf und wie lange sie aufbewahrt werden sollten.

DSGVO

Die DSGVO regelt die Verarbeitung personenbezogener Daten in der EU und umfasst Prinzipien wie Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Vertraulichkeit und Rechenschaftspflicht. Governance-Kontrollen helfen Unternehmen dabei, personenbezogene Daten zu identifizieren, den Verarbeitungskontext zu dokumentieren, den Zugriff zu beschränken, Aufbewahrungsrichtlinien durchzusetzen und Nachweise aufzubewahren, die die Rechenschaftspflicht unterstützen.

Mehr über die DSGVO erfahren →

CCPA und CPRA

Der California Consumer Privacy Act gewährt kalifornischen Verbraucher:innen Rechte in Bezug auf personenbezogene Daten, einschließlich des Rechts auf Auskunft, Löschung und Widerspruch (Opt-out) gegen bestimmte Verwendungen oder den Verkauf personenbezogener Daten. Der California Privacy Rights Act hat den CCPA am 1. Januar 2023 geändert und erweitert, einschließlich zusätzlicher Verpflichtungen in Bezug auf sensible personenbezogene Daten und der Gründung der California Privacy Protection Agency. Governance-Programme unterstützen die Anforderungen von CCPA und CPRA, indem sie sensible personenbezogene Daten klassifizieren, Zugriffsbeschränkungen durchsetzen und die Datennutzung mit den offengelegten Zwecken in Einklang bringen.

Mehr über CCPA und CPRA erfahren →

LGPD

Das brasilianische Lei Geral de Proteção de Dados gilt für die Verarbeitung personenbezogener Daten und teilt viele Konzepte mit der DSGVO, einschließlich rechtmäßiger Grundlagen für die Verarbeitung, Rechte der betroffenen Personen sowie Anforderungen an Sicherheit und Verantwortlichkeit. Klassifizierung, Nachverfolgung von Einwilligungen, Zugriffskontrolle und Aufbewahrungsrichtlinien helfen Unternehmen dabei, diese Verpflichtungen über alle Datensysteme hinweg umzusetzen.

PDPA

Personal Data Protection Acts in Rechtsordnungen wie Singapur und Thailand verlangen von Unternehmen einen verantwortungsvollen Umgang mit personenbezogenen Daten, was oft Benachrichtigung, Einwilligung, Zweckbindung, Schutz, Aufbewahrung und Zugriffsrechte umfasst. Ein Governance-Programm hilft dabei, diese Anforderungen mit Datenbeständen, rollenbasiertem Zugriff, Maskierung und Lebenszykluskontrollen zu verknüpfen.

POPIA

Der südafrikanische Protection of Personal Information Act regelt die Verarbeitung personenbezogener Daten und enthält Bedingungen in Bezug auf Verantwortlichkeit, Verarbeitungsbeschränkung, Zweckbestimmung, Sicherheitsvorkehrungen und die Beteiligung der betroffenen Personen. Governance unterstützt POPIA durch die Dokumentation des Verarbeitungskontexts, die Zuweisung von Eigentümerschaft, die Durchsetzung von Datenschutzkontrollen und die Aufbewahrung von Audit-Nachweisen.

China PIPL

Das chinesische Personal Information Protection Law regelt die Verarbeitung personenbezogener Daten und enthält Anforderungen in Bezug auf Einwilligung, Transparenz, Zweckbindung, Rechte der betroffenen Personen, sensible personenbezogene Daten und grenzüberschreitende Übermittlungen. Governance-Kontrollen helfen Unternehmen dabei, personenbezogene Daten zu klassifizieren, Verarbeitungszwecke nachzuverfolgen, Zugriffsrichtlinien anzuwenden und Entscheidungen zur Übermittlung oder Weitergabe zu dokumentieren.

India DPDP

Der indische Digital Personal Data Protection Act, 2023, hat ein Framework für die Verarbeitung digitaler personenbezogener Daten geschaffen, das sowohl das Recht des Einzelnen auf Schutz seiner personenbezogenen Daten als auch die Notwendigkeit der Verarbeitung dieser Daten für rechtmäßige Zwecke anerkennt. Für Unternehmen sind die Auswirkungen auf die Governance vertraut: Digitale personenbezogene Daten müssen identifiziert, geschützt, für definierte Zwecke verwendet, angemessen aufbewahrt und mit Workflows verknüpft werden, die individuelle Rechte und die Verantwortlichkeit des Unternehmens unterstützen.

Vorschriften für Finanzdienstleistungen konzentrieren sich in der Regel auf die Integrität der Berichterstattung, die Resilienz kritischer Abläufe und die Fähigkeit nachzuweisen, dass Kontrollen in komplexen Daten- und Technologieumgebungen funktionieren. Ein Risikomodell, eine Kapitalberechnung, ein Handelsbericht oder ein Dashboard für operationelle Resilienz kann Daten aus vielen Systemen abrufen, was bedeutet, dass die Compliance von Lineage, Kontroll-Mapping, Access History, Datenqualität und dokumentierter Eigentümerschaft abhängt.

Je verteilter der Bestand an Finanzdaten wird, desto wichtiger ist es, eine konsistente Governance-Schicht über Berichterstattung, Analytics, Risikomanagement, die Überwachung von Drittanbietern und operationelle Resilienz hinweg aufrechtzuerhalten.

DORA

Der Digital Operational Resilience Act der EU gilt für Finanzunternehmen und das sie unterstützende IKT-Drittanbieter-Risikoumfeld. Er konzentriert sich auf die Fähigkeit, Störungen der Informations- und Kommunikationstechnologie standzuhalten, darauf zu reagieren und sich davon zu erholen. DORA findet seit dem 17. Januar 2025 Anwendung. Governance unterstützt DORA, indem sie Finanzunternehmen dabei hilft, zu verstehen, welche Daten, Systeme und Abhängigkeiten von Drittanbietern kritische Abläufe unterstützen, wie der Zugriff kontrolliert wird und welche Nachweise für die Reaktion auf Vorfälle, Tests und die Überwachung verfügbar sind.

SOX

Der Sarbanes-Oxley Act konzentriert sich auf die Integrität der Finanzberichterstattung und interne Kontrollen. Für Datenteams umfassen SOX-relevante Kontrollen häufig die Systeme, Datenflüsse und Zugriffsrechte, die die Finanzberichterstattung, Abschlussprozesse und Audit-Nachweise unterstützen. Governance kann dabei helfen, maßgebliche Datenquellen zu identifizieren, die Lineage zu dokumentieren, die Aufgabentrennung durchzusetzen und den Änderungsverlauf für wichtige Berichtsdaten zu bewahren.

Basel III

Basel III legt internationale Bankenstandards für Kapitalausstattung, Stresstests und Liquiditätsrisiken fest. Obwohl es sich nicht nur um eine Datenregulierung handelt, hängt ihre Implementierung von zuverlässigen Risiko-, Exposure-, Liquiditäts- und Kapitaldaten ab. Governance hilft Banken dabei, maßgebliche Quellen zu definieren, die Datenqualität aufrechtzuerhalten, Transformationen zu dokumentieren und wiederholbare Berichterstattungsprozesse zu unterstützen.

BCBS 239

BCBS 239 legt Prinzipien für die Aggregation von Risikodaten und die Risikoberichterstattung fest. Der Standard ist für die Governance besonders relevant, da er von Datengenauigkeit, Vollständigkeit, Aktualität, Anpassungsfähigkeit und Nachvollziehbarkeit über alle Risikoberichterstattungsprozesse hinweg abhängt. Governance-Kontrollen wie Lineage, Eigentümerschaft, Überwachung der Datenqualität und Audit-Trails helfen dabei, diese Erwartungen zu unterstützen.

APRA CPS 234

APRA CPS 234 legt Informationssicherheitsanforderungen für regulierte Unternehmen in Australien fest, mit Erwartungen in Bezug auf die Identifizierung von Informationswerten, die Wirksamkeit von Kontrollen, die Meldung von Vorfällen und das Management von Drittanbietern. Data Governance unterstützt CPS 234, indem sie Unternehmen dabei hilft, sensible und kritische Datenbestände zu identifizieren, Eigentümerschaft zuzuweisen, Zugriffsrichtlinien durchzusetzen und Nachweise über den Betrieb von Kontrollen aufzubewahren.

Einige Compliance-Verpflichtungen werden durch die Art der sensiblen Daten definiert, die ein Unternehmen verarbeitet, und nicht durch ein umfassendes Datenschutzregime oder ein Framework für die Finanzberichterstattung. HIPAA gilt für geschützte Gesundheitsinformationen, während PCI DSS für Karteninhaber-Datenumgebungen gilt. In beiden Fällen hängt die Compliance davon ab, zu wissen, wo sich regulierte Daten befinden, welche Rollen darauf zugreifen können, wie sensible Werte geschützt werden und ob Zugriffsaktivitäten im Nachhinein überprüft werden können.

HIPAA

Der HIPAA regelt geschützte Gesundheitsinformationen im Ökosystem des US-Gesundheitswesens. Governance unterstützt den HIPAA durch die Identifizierung geschützter Gesundheitsinformationen, die Beschränkung des Zugriffs basierend auf Rolle und Zweck, die Dokumentation von Datenflüssen, die Anwendung angemessener Schutzmaßnahmen und die Aufbewahrung von Audit-Logs, die zeigen, wie auf sensible Gesundheitsdaten zugegriffen und wie diese verwendet wurden.

PCI DSS

Der Payment Card Industry Data Security Standard gilt für Unternehmen, die Daten von Karteninhabern speichern, verarbeiten oder übertragen. PCI DSS v4.0.1 wurde im Juni 2024 veröffentlicht, und das PCI Security Standards Council hat bestätigt, dass die Überarbeitung nichts am Datum des Inkrafttretens (31. März 2025) für zukünftige Anforderungen ändert. Governance hilft Zahlungsteams dabei, Umgebungen für Karteninhaberdaten abzugrenzen, Zahlungsdaten zu klassifizieren, den Zugriff zu beschränken, Aktivitäten zu überwachen und Nachweise für Bewertungen aufzubewahren.

Einige Compliance-Verpflichtungen konzentrieren sich weniger auf einen einzelnen regulierten Datentyp und mehr darauf, ob das Unternehmen den Systemen, Kontrollen und Daten vertrauen kann, die regulierte Abläufe unterstützen. NIS2 legt Verpflichtungen zum Risikomanagement im Bereich Cybersicherheit und zur Meldung von Vorfällen für betroffene Sektoren in der EU fest, während ISO 8000 einen Datenqualitätsstandard bietet, der rechtssicherere Berichts-, Audit- und Nachweisprozesse unterstützen kann.

NIS2

Die NIS2-Richtlinie erweitert die Cybersicherheitsverpflichtungen in kritischen und wichtigen Sektoren in der EU. Die EU-Mitgliedstaaten mussten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen, wobei die Maßnahmen ab dem 18. Oktober 2024 gelten. Data Governance unterstützt NIS2, indem sie Daten und Systeme identifiziert, die mit wesentlichen Diensten verbunden sind, Workflows zur Reaktion auf Vorfälle unterstützt und Unternehmen dabei hilft, Zugriff, Eigentümerschaft und Kontrollabdeckung zu dokumentieren.

ISO 8000

ISO 8000 ist ein Datenqualitätsstandard, der sich auf die Qualität und den Austausch von Daten konzentriert. Für Compliance-orientierte Datenprogramme ist ISO 8000 nützlich, da regulatorische Nachweise nur so stark sind wie die Daten, auf denen sie basieren. Eigentümerschaft, Datendefinitionen, Qualitätsregeln, Datenherkunft und Issue-Management tragen dazu bei, dass sich Berichte, Audits und Bescheinigungen auf vertrauenswürdige Daten stützen.

Unternehmen müssen bereit sein, die Genauigkeit, den Bias, die Erklärbarkeit und die Sicherheit ihrer KI-Systeme zu verteidigen – einschließlich der Frage, welche Daten zum Trainieren, Validieren, Testen oder Fundieren des Systems verwendet wurden, woher diese Daten stammen, wie sie aufbereitet wurden und welche Kontrollen ihre Nutzung regelten.

Für Datenteams macht die Einhaltung gesetzlicher Vorschriften im KI-Bereich Trainingsdaten, Validierungsdaten, Prompts, Retrieval-Quellen und Modellausgaben zu kontrollierten Assets. Das Kontrollset ist dasselbe, aber das Compliance-Ziel ist das KI-System, dessen Verhalten von vorgelagerten Datenentscheidungen abhängt.

Der EU AI Act im Vergleich

Der EU AI Act macht die Verbindung zwischen KI-Compliance und Data Governance für Hochrisiko-KI-Systeme explizit. Artikel 10 verlangt, dass Hochrisiko-KI-Systeme, die Trainingsdaten verwenden, auf der Grundlage von Trainings-, Validierungs- und Testdatensätzen entwickelt werden, die Qualitätskriterien erfüllen. Dabei müssen Data-Governance- und Managementpraktiken Bereiche wie Datenerfassung, Datenaufbereitung, Bias-Prüfung, Datenlücken sowie die Relevanz und Repräsentativität der Daten für den vorgesehenen Kontext des Systems abdecken.

NIST AI RMF

Das NIST AI Risk Management Framework ist keine Vorschrift, bietet Unternehmen jedoch eine nützliche Struktur für das Management von KI-Risiken. Seine Kernfunktionen – Govern, Map, Measure und Manage – verbinden Richtlinien, Systemkontext, Messung und fortlaufende Risikoreaktion.

In der Praxis hängen diese Funktionen von kontrollierten Daten ab. Teams müssen den vorgesehenen Verwendungszweck eines KI-Systems abbilden, Performance und Bias anhand relevanter Daten messen, Risiken bei Änderungen von Daten und Modellverhalten managen und Nachweise aufbewahren, die von Stakeholdern aus den Bereichen Recht, Risiko, Compliance und Audit überprüft werden können. Ein Modellinventar allein reicht nicht aus, wenn das Unternehmen die Datenquellen, Transformationen, Zugriffsrichtlinien und Evaluierungsdaten, die das System geprägt haben, nicht nachverfolgen kann.

Governance, Risk und Compliance (GRC) verbindet drei verwandte Disziplinen: wie ein Unternehmen Betriebsstandards festlegt und durchsetzt, wie es Risiken identifiziert und managt und wie es die Einhaltung externer Verpflichtungen nachweist. Im Datenkontext hängt GRC von denselben operativen Details ab, die Datenteams jeden Tag managen: Eigentümer, Klassifizierungen, Zugriffsrichtlinien, Datenherkunftspfade, Genehmigungen, Ausnahmen und Audit-Trails.

Ein GRC-Programm mag die Risikotaxonomie, das Kontroll-Framework und den Berichtszyklus definieren, aber die Data Governance liefert die Nachweise. Wenn eine Kontrolle den eingeschränkten Zugriff auf regulierte Daten erfordert, muss das Unternehmen wissen, welche Daten reguliert sind, welche Rollen darauf zugreifen können, welche Richtlinien gelten und ob Ausnahmen offen bleiben. Wenn eine Kontrolle die Aufbewahrung von Finanzberichtsdaten erfordert, benötigt das Unternehmen Lebenszyklusregeln, die Verantwortlichkeit der Eigentümer und den Nachweis, dass Aufzeichnungen gemäß den Richtlinien aufbewahrt oder vernichtet wurden.

Mehr über Governance, Risk und Compliance erfahren →

Ein gut geführtes Governance-Programm wird mit zunehmenden regulatorischen Verpflichtungen immer wertvoller, da dieselbe Kontrolle viele Anforderungen unterstützen kann. Beispielsweise kann die Datenherkunft die Auditierbarkeit für die Finanzberichterstattung, die Erklärbarkeit für Risikomodelle, die Auswirkungsanalyse für die Reaktion auf Vorfälle und die Dokumentation für KI-Systeme unterstützen. Die Zugriffskontrolle kann Vertraulichkeit, Aufgabentrennung, Least-Privilege-Zugriff und Datenminimierung unterstützen.

Stellen Sie sich ein Unternehmen im Gesundheitswesen vor, das sich an den HIPAA, staatliche Datenschutzgesetze, interne Sicherheitsrichtlinien und vertragliche Verpflichtungen mit Partnern halten muss. Ohne ein gemeinsames Governance-Programm könnte jede Verpflichtung ein separates Inventar, eine separate Zugriffsüberprüfung und eine separate Nachweisanforderung auslösen. Mit einer gemeinsamen Kontrollumgebung kann das Unternehmen jedoch geschützte Gesundheitsinformationen und andere personenbezogene Daten einmalig klassifizieren, diesen Klassifizierungen Eigentümer und Richtlinien zuweisen, bei Bedarf Maskierung oder Zeilenzugriff durchsetzen, Datenflüsse dokumentieren und dieselben Nachweise für mehrere Überprüfungen wiederverwenden.

Das bedeutet nicht, dass eine Kontrolle automatisch jede Anforderung erfüllt. Die rechtliche Auslegung spielt nach wie vor eine Rolle, und verschiedene Vorschriften können unterschiedliche Schwellenwerte, Dokumentationen und Überprüfungszyklen erfordern. Aber Governance-gesteuerte Compliance bietet Teams eine wiederverwendbare Basis: Kontrollen können Verpflichtungen zugeordnet, Nachweise kontinuierlich aufbewahrt und neue Vorschriften anhand der bereits vorhandenen Kontrollen bewertet werden.

Snowflake hilft Unternehmen dabei, Governance-Kontrollen mit Compliance-Workflows zu verbinden, indem Metadaten, Richtliniendurchsetzung und Auditierbarkeit näher an die Daten selbst herangeführt werden. Mit Snowflake Horizon Catalog können Teams Daten in ganz Snowflake entdecken, klassifizieren, verwalten und schützen, einschließlich Kontrollen für Zugriff, Maskierung, Einschränkungen auf Zeilenebene, Lineage und Data Classification für sensible Daten.

Snowflake Access History fügt der Betriebskette einen weiteren Teil hinzu, indem es aufzeichnet, wann Abfragen Daten lesen und wann SQL-Anweisungen Schreibvorgänge wie Inserts, Updates, Deletes und Copies ausführen. Für Compliance-Teams hilft diese Access History dabei, die Durchsetzung von Richtlinien mit Audit-Trails und Nachweisen zu verknüpfen.

Darüber hinaus unterstützt das Snowflake Compliance Center das Posture Monitoring, indem es allgemeine Einblicke in den Sicherheitsstatus eines Kontos bietet, einschließlich Scanner-Ergebnissen, Bereitschaft zur sicheren Authentifizierung und Datensicherheit. Snowflake stellt über seine Compliance-Ressourcen auch Compliance-Dokumentationen und -Zertifizierungen bereit, einschließlich globaler Zertifizierungen wie SOC 1 Type II, SOC 2 Type II und ISO-Zertifizierungen, wobei zusätzliche Compliance-Informationen je nach Region und Programm verfügbar sind.

Zusammen helfen diese Funktionen Unternehmen dabei, von der schriftlichen Absicht zum gesteuerten Betrieb und vom gesteuerten Betrieb zu Nachweisen überzugehen, die Audits, Bescheinigungen und behördliche Überprüfungen unterstützen können.

Vorschriften definieren unterschiedliche Verpflichtungen, hängen aber oft von denselben operativen Fakten ab: welche Daten existieren, wohin sie verschoben werden, wer darauf zugreifen kann, wie sie geschützt sind und ob das Unternehmen nachweisen kann, dass die Kontrolle funktioniert hat.

Ein gut geführtes Governance-Programm erfasst diese Fakten als Teil des normalen Datenbetriebs. Klassifizierung, Eigentümerschaft, Lineage, Zugriffsrichtlinien, Aufbewahrungsregeln und Audit-Trails werden zu wiederverwendbaren Kontrollen, die Datenschutzgesetzen, Anforderungen an die Finanzberichterstattung, Regeln zur operativen Resilienz, Gesundheits- und Zahlungsstandards sowie KI-Governance-Frameworks zugeordnet werden können.