Cos’è il CDMC? Una guida pratica al framework Cloud Data Management Capabilities

Il cloud ha cambiato la gestione dei dati. Oggi i dati si spostano tra regioni diverse, le identità sono federate, archiviazione e compute scalano in modo indipendente e le decisioni di accesso dipendono sempre più da API, policy e metadati che devono essere valutati di continuo anziché verificati a posteriori.

Il framework Cloud Data Management Capabilities (CDMC) aiuta le organizzazioni a valutare e migliorare il modo in cui gestiscono e controllano i dati in ambienti cloud, multi-cloud e cloud ibridi.

Il CDMC è un framework di valutazione e certificazione basato sulle best practice. Il framework è stato sviluppato dal CDMC Working Group con il contributo di oltre 300 persone in più di 100 organizzazioni e i primi controlli CDMC sono stati pubblicati nel 2021. Il framework è reso disponibile dall'EDM Council con una licenza gratuita per uso interno.

Il CDMC è diverso da framework come DAMA-DMBOK o DCAM. DAMA-DMBOK è un corpus di conoscenze sulla gestione dei dati come disciplina, mentre DCAM valuta capacità più ampie di gestione dei dati a livello aziendale. Il CDMC presuppone che queste basi siano importanti, ma restringe il focus ai controlli necessari per governare i dati sensibili negli ambienti cloud, dove automazione, applicazione delle policy e raccolta continua di prove fanno parte della progettazione e non sono un livello opzionale aggiunto in un secondo momento.

Nella sua essenza, il CDMC si articola in 14 controlli e automazioni chiave, suddivisi in sei aree:

I 14 controlli risultano più facili da gestire se li si osserva attraverso le sei aree operative che insieme supportano:

1. Governance e accountability: riguarda il piano di controllo fondamentale: conformità del controllo dei dati, proprietà, origini dati autorevoli e punti di provisioning, sovranità dei dati e movimento transfrontaliero. Un team dovrebbe essere in grado di dimostrare chi è proprietario di un asset sensibile, dove ha avuto origine, come viene monitorata la conformità e se il movimento tra giurisdizioni è governato e verificabile.
2. Catalogazione e classificazione: riguarda la catalogazione e classificazione automatica dei dati sensibili al momento della creazione o dell’ingestion e la coerenza di questo processo tra i diversi ambienti. Questo è uno degli esempi più chiari dell’orientamento cloud del CDMC, perché il framework presuppone che il catalogo sia una superficie di controllo live anziché un inventario statico.
3. Accessibilità e utilizzo: riguarda gli entitlement, le impostazioni di accesso predefinite e la finalità del consumo dei dati. L’accesso ai dati sensibili dovrebbe essere assegnato di default al creatore e al proprietario, gli accessi dovrebbero essere tracciati e la finalità del consumo dei dati dovrebbe essere indicata negli accordi di data sharing che coinvolgono dati sensibili.
4. Protezione e privay: riguarda i controlli di sicurezza appropriati per i dati sensibili e l’attivazione automatica delle valutazioni d’impatto sulla protezione dei dati per i dati personali in base alla giurisdizione. È qui che il CDMC collega più chiaramente i requisiti di governance alle operazioni e alle prove in materia di privacy.
5. Ciclo di vita dei dati: riguarda conservazione, archiviazione, eliminazione e misurazione della qualità dei dati. Il diagramma dell’EDM Council colloca qui la misurazione della qualità dei dati anziché in un dominio della qualità separato e di primo livello: un segnale utile del fatto che la qualità è trattata come parte del controllo continuo del ciclo di vita e non solo come un tema legato all’analisi dei dati.
6. Architettura dei dati e architettura tecnica: riguarda le metriche di costo e la lineage. Il CDMC si aspetta che le organizzazioni rendano disponibili nel catalogo le metriche di costo associate all’uso, all’archiviazione e al movimento dei dati, e che rendano disponibili le informazioni di lineage per i dati sensibili.

I materiali di benchmark CDMC dell’EDM Council utilizzano un modello di valutazione basato sulle prove e descrivono la maturità attraverso output di assessment legati a processo, coinvolgimento ed evidenze. Nella pratica, le organizzazioni utilizzano i risultati per produrre una visione della maturità controllo per controllo e una heatmap di remediation che mostra dove automazione, metadati, copertura delle policy o monitoraggio richiedono ancora interventi

Ecco un modo pratico per immaginare come si presenta la maturità misurata nelle sei aree:

Sebbene il CDMC sia neutrale rispetto ai vendor e l’implementazione vari da un’organizzazione all’altra, Snowflake offre funzionalità in grado di supportare molti aspetti di questi controlli.

Snowflake Horizon Catalog riunisce metadati, lineage e contesto delle policy, mentre la classificazione dei dati sensibili di Snowflake applica tag definiti dal sistema alle colonne identificate come sensibili. Horizon può aiutare ad applicare policy di conservazione e accesso tra i diversi ambienti, supportando le aspettative del CDMC secondo cui catalogazione e classificazione devono operare come un livello di controllo attivo.

Snowflake consente il mascheramento dinamico dei dati e le policy di accesso righe. La feature Dynamic Data Masking utilizza policy di mascheramento per mascherare selettivamente i dati in chiaro nelle colonne di tabelle e viste al momento dell’esecuzione delle query, mentre le policy di accesso righe controllano quali righe sono visibili in una tabella o vista. Insieme, questi controlli possono essere utilizzati per supportare i requisiti del CDMC relativi ai controlli di sicurezza e alla gestione degli accessi sensibili dal punto di vista della privacy.

Snowflake offre Time Travel fino a 90 giorni e Fail-Safe per un periodo di sette giorni dopo la fine della finestra di conservazione di Time Travel. Queste feature offrono funzionalità integrate in grado di supportare i requisiti di controllo di conservazione e recupero all’interno della piattaforma.

Per il controllo di misurazione della qualità dei dati nel ciclo di vita dei dati, il monitoraggio della qualità e le funzioni metriche sui dati di Snowflake offrono modalità integrate e personalizzate per misurare i comuni attributi di qualità dei dati. Le funzioni metriche sui dati di sistema possono essere assegnate a tabelle o viste e utilizzate per esigenze di governance e conformità, il che le rende particolarmente adatte al Controllo 11 del CDMC.

Il modello di accesso di Snowflake è incentrato sul controllo degli accessi basato sui ruoli (RBAC), sulla proprietà e sui privilegi, con i relativi controlli delle policy applicati al di sopra. Questo supporta la componente di entitlement e accesso del framework, mentre tag e metadati aiutano a collegare le decisioni di accesso al contesto di sensibilità e utilizzo.

Il modello di metadati e lineage di Horizon Catalog aiuta a trasformare il CDMC da un insieme di dichiarazioni di controllo in qualcosa che un’organizzazione può effettivamente valutare. Il framework presuppone che i team siano in grado di identificare un asset sensibile, associargli un contesto di governance e seguirlo attraverso i sistemi, le trasformazioni e gli oggetti a valle che ne dipendono. I metadati mettono in evidenza il contesto, ovvero proprietà, classificazione, tag e controlli correlati, mentre la lineage mostra come si spostano i dati e dove tali controlli potrebbero dover persistere.

Snowflake aiuta a stabilire il contesto di controllo da cui dipende il CDMC. Il framework non si limita a chiedere se i dati sensibili siano classificati o protetti, ma se un’organizzazione sia in grado di dimostrare chi ne è proprietario, quale origine sia autorevole, come venga monitorata la conformità e se il movimento tra ambienti o giurisdizioni possa essere valutato rispetto alle policy.

Snowflake offre funzionalità che possono aiutare le organizzazioni a implementare, rendere operativi e monitorare i processi legati alla conformità tramite metadati condivisi, campi di proprietà, tag, applicazione delle policy e visibilità delle attività. In questo modo la governance diventa qualcosa che i data steward e i responsabili dei controlli possono effettivamente esaminare.

Ecco una mappa sintetica delle capacità e delle feature:

Ciò che distingue il CDMC è il presupposto che la gestione dei dati nel cloud richieda controlli automatizzabili, documentabili e rivalutabili in modo continuo, perché è proprio così che operano le piattaforme moderne. Il valore del framework non sta solo nel definire i controlli, ma nel costringere i team a porsi domande come: dove vengono popolati i metadati del catalogo, come viene applicato il controllo degli accessi, se i controlli di qualità vengono eseguiti senza intervento manuale e quali evidenze esistono quando un auditor o un’autorità di regolamentazione richiede una prova.