Conformità alle normative e controlli di governance

La maggior parte delle organizzazioni scopre il gap tra le proprie prassi di governance dei dati e le esigenze di conformità nel momento peggiore: arriva una richiesta di audit e il team si rende conto che le policy definite non corrispondono in modo chiaro alle prove che è in grado di produrre. La corsa che ne consegue, ricostruire la cronologia degli accessi, individuare i responsabili dei dati e documentare controlli mai definiti formalmente, si può evitare.

La governance fornisce il modello operativo e il piano di controllo necessari per generare e conservare le tracce di audit richieste dalla conformità alle normative. Un programma di governance ben gestito rende più sostenibile la conformità a diversi framework normativi. Consente di tradurre i requisiti normativi in controlli applicabili, supportare la conservazione continua delle prove e riutilizzare i controlli per adempiere a più obblighi.

Nel contesto dei dati, per conformità alle normative si intende il rispetto degli obblighi legali, contrattuali e di settore esterni relativi alla raccolta, all’elaborazione, alla protezione, alla condivisione, alla conservazione e all’eliminazione dei dati. GDPR (regolamento 2016/679), Codice Privacy, CCPA, HIPAA, PCI DSS, DORA, NIS2, D.Lgs. 138/2024, SOX e le nuove normative sull’AI stabiliscono aspettative legali, settoriali o operative diverse, ma in molti casi prevedono controlli analoghi: classificazione dei dati, controllo degli accessi, tracce di audit, conservazione, risposta alle violazioni e responsabilità dimostrabile.

Un approccio governance-first consente di sviluppare una sola volta questi controlli, associarli a numerosi obblighi e rendere disponibili le prove prima che un auditor le richieda.

Governance dei dati e conformità alle normative

Per comprendere quanto governance e conformità siano strettamente connesse, è utile seguire la catena operativa come asse portante: policy → controllo → audit trail → evidenza.

Un requisito legale o normativo nasce generalmente dal linguaggio di una legge, di uno standard, di un contratto o di un framework di audit. Per il team dati, quel linguaggio deve tradursi in una serie di decisioni: quali colonne contengono dati personali, quali tabelle includono informazioni sanitarie protette, quali ruoli possono eseguire query sui valori in chiaro, quali righe devono essere visibili in base all’area geografica, per quanto tempo conservare un record e chi può approvare un’eccezione.

La governance fornisce il sistema di riferimento per queste decisioni. Ad esempio, quando un data steward classifica una colonna come sensibile, vi associa un tag per la privacy, definisce un proprietario e associa il data set a una regola di conservazione, i team della piattaforma possono tradurre questi standard in policy di masking, policy di accesso alle righe, controllo degli accessi basato sui ruoli e monitoraggio. Chi si occupa della compliance può quindi ricondurre il controllo operativo all’obbligo che supporta, indipendentemente dal fatto che riguardi la minimizzazione dei dati, l’accesso con privilegi minimi, la separazione dei compiti, la conservazione, la cancellazione o la risposta a una violazione.

La maturità per gli audit deriva dalla stessa catena. Anziché raccogliere le evidenze a posteriori, l’organizzazione può conservare il data lineage, la cronologia delle classificazioni, la cronologia degli accessi, le modifiche alle policy e le approvazioni nell’ambito delle normali operazioni sui dati. Questo non rende gli audit privi di difficoltà né elimina la necessità di un’interpretazione giuridica, ma rende la raccolta delle evidenze più rapida e affidabile, perché conserva gli audit trail, la cronologia delle policy e i registri delle approvazioni necessari prima che un auditor li richieda.

Scopri come DraftKings gestisce la conformità alle normative su larga scala:

Le normative differiscono per linguaggio, ambito e modello di applicazione, ma molte pongono le stesse domande di fondo sui dati:

• Quali dati possiedi?
• Dove sono archiviati e utilizzati?
• Chi può accedervi?
• Come vengono protetti i dati sensibili?
• Per quanto tempo vengono conservati?
• È possibile dimostrare che cosa è accaduto quando qualcosa cambia, si verifica un errore o qualcuno accede ai dati?
• È possibile rispondere quando una persona, un’autorità di regolamentazione, un auditor o un cliente chiede una prova?

Rispondere adeguatamente a queste domande richiede un insieme comune di famiglie di controlli:

• Classificazione e inventario dei dati: Prima di applicare le policy corrette, le organizzazioni devono identificare dati personali, dati di pagamento, dati sanitari, dati per la rendicontazione finanziaria, dati critici per le operazioni e altre categorie sensibili. La classificazione aiuta anche a definire l’ambito degli obblighi normativi, perché una tabella che contiene identificativi dei clienti, cronologia delle transazioni o informazioni sanitarie protette può essere soggetta a requisiti diversi rispetto a una tabella contenente metriche operative aggregate.
• Controllo degli accessi e applicazione delle policy: Le normative si basano spesso sulla limitazione dell’accesso alle persone autorizzate e per lo scopo corretto. L’accesso con privilegi minimi, l’accesso basato sui ruoli, il masking, le restrizioni a livello di riga e i workflow di approvazione trasformano questo principio in controlli applicabili.
• Audit trail ed evidenze: I programmi di compliance richiedono registri che mostrino chi ha effettuato l’accesso ai dati, quando lo ha fatto, che cosa è cambiato e quali controlli erano applicati. Gli audit trail supportano anche l’attestazione, l’analisi degli incidenti e la responsabilizzazione interna.
• Conservazione e smaltimento: Le normative sulla privacy, finanziarie, sanitarie e di settore spesso impongono alle organizzazioni di conservare determinati record per un periodo definito e di smaltire altri dati quando non sono più necessari. La governance consente di associare la logica di conservazione alle categorie di dati, ai proprietari e alle policy del ciclo di vita, invece di lasciare le decisioni sulla cancellazione a valutazioni ad hoc.
• Workflow di risposta e gestione delle violazioni: Quando si verifica un incidente, è necessario comprendere quali dati sono stati interessati, quali sistemi sono stati coinvolti, chi vi aveva accesso e quali notifiche potrebbero essere necessarie. La classificazione, il data lineage e la cronologia degli accessi aiutano i team di sicurezza, legali e compliance a passare da un record generico dell’incidente a un workflow di risposta specifico per i dati.

Questo livello comune di controllo consente a un singolo programma di governance di supportare più normative contemporaneamente. Le denominazioni possono cambiare da un obbligo all’altro, ma l’organizzazione deve comunque sapere quali dati possiede, come sono controllati e quali evidenze dimostrano che il controllo ha funzionato come previsto.

Le normative sulla privacy dei dati si concentrano sui diritti delle persone rispetto ai propri dati, non soltanto sulla sicurezza dei sistemi. Ad esempio, quando un record cliente, un fascicolo del personale o un identificativo del dispositivo attraversa workflow di marketing, assistenza, AI o altro tipo, l’organizzazione deve sapere dove risiedono i dati, perché vengono trattati, chi può utilizzarli e per quanto tempo devono essere conservati.

GDPR

Il Regolamento Generale europeo sulla Protezione dei Dati (RGPD o GDPR) disciplina il trattamento dei dati personali nell’Unione europea e include principi quali liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione. I controlli di governance aiutano le organizzazioni a identificare i dati personali, documentare il contesto del trattamento, limitare gli accessi, applicare le policy di conservazione e preservare le evidenze a supporto della responsabilizzazione.

Scopri di più sul GDPR →

CCPA e CPRA

Il California Consumer Privacy Act (CCPA) riconosce ai consumatori della California diritti relativi alle informazioni personali, tra cui il diritto di sapere, cancellare e rifiutare determinati utilizzi o vendite delle proprie informazioni personali. Il 1° gennaio 2023 il CCPA è stato modificato dal California Privacy Rights Act (CPRA) con l’introduzione di ulteriori obblighi relativi alle informazioni personali sensibili e istituendo la California Privacy Protection Agency. I programmi di governance supportano i requisiti del CCPA e del CPRA classificando le informazioni personali sensibili, applicando restrizioni agli accessi e allineando l’utilizzo dei dati alle finalità dichiarate.

Leggi di più sul CCPA e sul CPRA →

LGPD del Brasile

La Lei Geral de Proteção de Dados brasiliana disciplina il trattamento dei dati personali e condivide numerosi concetti con il GDPR, tra cui le basi giuridiche del trattamento, i diritti degli interessati e i requisiti in materia di sicurezza e responsabilità. La classificazione, il monitoraggio dei consensi, il controllo degli accessi e le policy di conservazione aiutano le organizzazioni a rendere operativi questi obblighi nei sistemi di dati.

PDPA di Singapore e della Thailandia

Le leggi sulla protezione dei dati personali di Singapore e Thailandia impongono alle organizzazioni di gestire responsabilmente i dati personali, includendo spesso informativa, consenso, limitazione delle finalità, protezione, conservazione e diritti di accesso. Un programma di governance aiuta a collegare questi requisiti agli inventari dei dati, al controllo degli accessi basato sui ruoli, al masking e ai controlli del ciclo di vita.

POPIA del Sudafrica

Il Protection of Personal Information Act del Sudafrica disciplina il trattamento delle informazioni personali e stabilisce condizioni relative a responsabilità, limitazione del trattamento, specificazione delle finalità, misure di sicurezza e partecipazione degli interessati. La governance supporta il POPIA documentando il contesto del trattamento, assegnando la titolarità, applicando i controlli di protezione dei dati e conservando le evidenze di audit.

PIPL della Cina

La legge cinese sulla protezione dei dati personali disciplina il trattamento delle informazioni personali e stabilisce requisiti relativi a consenso, trasparenza, limitazione delle finalità, diritti degli interessati, informazioni personali sensibili e trasferimenti transfrontalieri. I controlli di governance aiutano le organizzazioni a classificare le informazioni personali, monitorare le finalità del trattamento, applicare le policy di accesso e documentare le decisioni relative a trasferimenti o condivisione.

DPDP dell’India

Il Digital Personal Data Protection Act indiano del 2023 ha istituito un framework per il trattamento dei dati personali digitali, riconoscendo sia il diritto delle persone a proteggere i propri dati personali, sia la necessità di trattarli per finalità lecite. Per le organizzazioni, l’implicazione della governance è chiara: i dati personali digitali devono essere identificati, protetti, utilizzati per finalità definite, conservati in modo appropriato e collegati a workflow che supportino i diritti individuali e la responsabilità dell’organizzazione.

Le normative sui servizi finanziari si concentrano in genere sull’integrità del reporting, sulla resilienza delle operazioni critiche e sulla capacità di dimostrare che i controlli funzionano in ambienti complessi di dati e tecnologici. Un modello di rischio, un calcolo del capitale, un report sulle operazioni o una dashboard sulla resilienza operativa possono acquisire dati da numerosi sistemi. Per questo, la conformità dipende dal lineage, dalla mappatura dei controlli, dalla cronologia degli accessi, dalla qualità dei dati e dalla titolarità documentata.

Quanto più il patrimonio di dati finanziari è distribuito, tanto più è importante mantenere un livello coerente di governance per il reporting, l’analytics, la gestione del rischio, la supervisione dei fornitori terzi e la resilienza operativa.

DORA

Il Regolamento sulla resilienza operativa digitale (DORA) dell’Unione europea si applica alle entità finanziarie e all’ambiente di rischio relativo ai fornitori terzi ICT che le supportano. Si concentra sulla capacità di resistere alle interruzioni dei sistemi informativi e di comunicazione, di rispondervi e di ripristinare le operazioni. DORA è entrato in applicazione il 17 gennaio 2025. La governance supporta DORA aiutando le organizzazioni finanziarie a comprendere quali dati, sistemi e dipendenze da fornitori terzi sostengono le operazioni critiche, come vengono controllati gli accessi e quali evidenze sono disponibili per la risposta agli incidenti, i test e la supervisione.

SOX

Il Sarbanes-Oxley Act si concentra sull’integrità del reporting finanziario e sui controlli interni. Pur essendo una normativa americana, può essere direttamente applicabile alle aziende italiane in casi specifici: azienda quotata in una borsa valori USA, controllata di azienda quotata negli Stati Uniti. L’equivalente italiano è la Legge 28 dicembre 2005, n. 262. Per i team che gestiscono i dati, i controlli rilevanti ai fini del SOX riguardano spesso i sistemi, i flussi di dati e i diritti di accesso che supportano il reporting finanziario, i processi di chiusura contabile e le evidenze di audit. La governance aiuta a identificare le fonti dati autorevoli, documentare il lineage, applicare la separazione dei compiti e conservare la cronologia delle modifiche ai dati chiave per il reporting.

Basilea III

Basilea III stabilisce standard bancari internazionali per l’adeguatezza patrimoniale, gli stress test e il rischio di liquidità. Sebbene non sia una normativa esclusivamente sui dati, la sua applicazione dipende da dati affidabili relativi a rischi, esposizioni, liquidità e capitale. La governance aiuta le banche a definire fonti autorevoli, mantenere la qualità dei dati, documentare le trasformazioni e supportare processi di reporting ripetibili.

BCBS 239

Il BCBS 239 è un insieme di principi emanato da Comitato di Basilea per l’aggregazione dei dati di rischio e il reporting dei rischi. Lo standard è particolarmente rilevante per la governance perché dipende da accuratezza, completezza, tempestività, adattabilità e tracciabilità dei dati nei processi di reporting dei rischi. I controlli di governance, come il lineage, la titolarità, il monitoraggio della qualità dei dati e gli audit trail, aiutano a soddisfare queste aspettative.

APRA CPS 234

APRA CPS 234 è uno standard di sicurezza delle informazioni emanato dall’Australian Prudential Regulation Authority (APRA), che richiede identificazione degli asset informativi, efficacia dei controlli, notifica degli incidenti e gestione dei fornitori terzi. La governance dei dati supporta CPS 234 aiutando le organizzazioni a identificare gli asset di dati sensibili e critici, assegnare la titolarità, applicare le policy di accesso e conservare le evidenze del funzionamento dei controlli.

Alcuni obblighi di conformità sono definiti dal tipo di dati sensibili gestiti da un’organizzazione, anziché da un ampio regime in materia di privacy o da un framework di reporting finanziario. L’HIPAA si applica negli Stati Uniti alle informazioni sanitarie protette. L’equivalente italiano è il GDPR, in particolare l’articolo 9 sui dati relativi alla salute. Il PCI DSS si applica a livello globale agli ambienti che gestiscono i dati dei titolari di carte. La conformità dipende dalla conoscenza della posizione dei dati regolamentati, dei ruoli che possono accedervi, delle modalità di protezione dei valori sensibili e della possibilità di riesaminare in seguito le attività di accesso.

HIPAA

HIPAA disciplina le informazioni sanitarie protette nell’ecosistema sanitario statunitense. La governance per l’HIPAA identifica le informazioni sanitarie protette, limitando l’accesso in base al ruolo e alla finalità, documentando i flussi di dati, applicando protezioni adeguate e conservando i record di audit che mostrano come sono stati effettuati l’accesso e l’utilizzo dei dati sanitari sensibili.

PCI DSS

Lo standard PCI DSS (Payment Card Industry Data Security Standard) è l'insieme di requisiti tecnici e operativi obbligatori per tutte le organizzazioni che gestiscono, elaborano, memorizzano o trasmettono dati relativi alle carte di pagamento. La versione 4.0.1 del PCI DSS pubblicata a giugno 2024 è oggi pienamente in vigore. La governance consente ai team che gestiscono i pagamenti di definire l’ambito degli ambienti contenenti dati dei titolari di carta, classificare i dati di pagamento, limitare gli accessi, monitorare le attività e conservare le evidenze necessarie per la valutazione.

Alcuni obblighi di conformità si concentrano meno su un singolo tipo di dati regolamentati e più sulla capacità dell’organizzazione di considerare affidabili i sistemi, i controlli e i dati che supportano le attività regolamentate. La direttiva europea NIS2 stabilisce obblighi di gestione dei rischi di cybersecurity e di segnalazione degli incidenti per i settori interessati nell’Uione europea, mentre ISO 8000 fornisce uno standard per la qualità dei dati in grado di supportare processi di reporting, audit ed evidenze più solidi.

NIS2

La direttiva NIS2 estende gli obblighi di cybersecurity a tutti i settori critici e importanti nell’UE. Gli Stati membri dell’UE dovevano recepire NIS2 nel diritto nazionale entro il 17 ottobre 2024, con misure applicabili dal 18 ottobre 2024. La governance dei dati supporta NIS2 identificando dati e sistemi collegati ai servizi essenziali, supportando i flussi di lavoro per la risposta agli incidenti e consentendo alle organizzazioni di documentare accessi, responsabilità e copertura dei controlli.

ISO 8000

La norma ISO 8000 è uno standard per la qualità dei dati incentrato sulla qualità e sullo scambio dei dati. Per i programmi dati orientati alla conformità, ISO 8000 è utile perché la solidità delle evidenze normative dipende dalla qualità dei dati che le supportano. Responsabilità, definizioni dei dati, regole di qualità, data lineage e gestione dei problemi contribuiscono a garantire che report, audit e attestazioni si basino su dati affidabili.

Le organizzazioni devono essere in grado di dimostrare l’accuratezza, i bias, la spiegabilità e la sicurezza dei propri sistemi di AI, compresi i dati utilizzati per addestrare, convalidare, testare o fondare il sistema, la loro provenienza, le modalità di preparazione e i controlli che ne hanno regolato l’utilizzo.

Per i team dati, la conformità alle normative sull’AI trasforma i dati di training, i dati di convalida, i prompt, le fonti di retrieval e gli output dei modelli in risorse governate. L’insieme dei controlli è lo stesso, ma l’obiettivo della conformità è il sistema AI, il cui comportamento dipende dalle scelte effettuate sui dati a monte.

Regolamento europeo sull’intelligenza artificiale (AI Act)

L’AI Act dell’UE rende esplicito il legame tra compliance dell’AI e governance dei dati per i sistemi AI ad alto rischio. L’articolo 10 richiede che i sistemi di AI ad alto rischio che utilizzano dati di training siano sviluppati sulla base di set di dati di training, convalida e test conformi a criteri di qualità, con pratiche di governance e gestione dei dati che comprendano aspetti come la raccolta e la preparazione dei dati, l’analisi dei bias, le lacune nei dati e la pertinenza e rappresentatività dei dati rispetto al contesto previsto per il sistema.

AI RMF del NIST

L’AI Risk Management Framework del National Institute of Standards and Technology (NIST) statunitense non è una normativa, ma fornisce alle organizzazioni una struttura utile per gestire i rischi dell’AI. Le sue funzioni principali, governare, mappare, misurare e gestire, collegano policy, contesto del sistema, misurazione e risposta continua ai rischi.

In pratica, queste funzioni dipendono da dati governati. È necessario mappare l’uso previsto di un sistema AI, misurare prestazioni e bias rispetto a dati pertinenti, gestire i rischi quando cambiano i dati e il comportamento del modello e conservare evidenze che i soggetti responsabili degli aspetti legali, del rischio, della conformità e dell’audit possano esaminare. Un inventario dei modelli, da solo, non è sufficiente se l’organizzazione non riesce a tracciare le origini dei dati, le trasformazioni, le policy di accesso e i dati di valutazione che hanno plasmato il sistema.

Governance, rischio e conformità (GRC) collega tre discipline correlate: il modo in cui un’organizzazione definisce e applica gli standard operativi, il modo in cui identifica e gestisce i rischi e il modo in cui dimostra il rispetto degli obblighi esterni. In un contesto dati, GRC dipende dagli stessi dettagli operativi che i team dati gestiscono ogni giorno: responsabili, classificazioni, policy di accesso, percorsi di data lineage, approvazioni, eccezioni e audit trail.

Un programma GRC può definire la tassonomia dei rischi, il framework dei controlli e la cadenza del reporting, ma è la governance dei dati a fornire le evidenze. Se un controllo richiede un accesso limitato ai dati regolamentati, l’organizzazione deve sapere quali dati sono regolamentati, quali ruoli possono accedervi, quali policy si applicano e se rimangono eccezioni aperte. Se un controllo richiede la conservazione dei dati per il reporting finanziario, l’organizzazione deve disporre di regole del ciclo di vita, responsabilità chiare dei proprietari e prove che i record siano stati conservati o eliminati secondo la policy.

Scopri di più sulla governance, il rischio e la conformità →

Un programma di governance ben gestito diventa più prezioso con l’ampliarsi degli obblighi normativi, perché lo stesso controllo può supportare numerosi requisiti. Ad esempio, il data lineage può supportare l’auditabilità del reporting finanziario, la spiegabilità dei modelli di rischio, l’analisi d’impatto per la risposta agli incidenti e la documentazione dei sistemi di AI. Il controllo degli accessi può supportare la riservatezza, la segregazione dei compiti, l’accesso con il minimo privilegio e la minimizzazione dei dati.

Si consideri un’organizzazione sanitaria italiana che deve allinearsi al GDPR per le categorie particolari di dati (art. 9), al Codice Privacy (D.Lgs. 196/2003), ai provvedimenti del Garante Privacy in materia di dati sanitari, alle normative regionali applicabili e agli obblighi contrattuali con i partner del Servizio Sanitario Nazionale. Senza un programma di governance condiviso, ogni obbligo potrebbe richiedere un inventario separato, una revisione separata degli accessi e una richiesta separata di evidenze. Con un ambiente di controllo comune, tuttavia, l’organizzazione può classificare una sola volta le informazioni sanitarie protette e gli altri dati personali, associare responsabili e policy a tali classificazioni, applicare il masking o l’accesso a livello di riga dove appropriato, documentare i flussi di dati e riutilizzare le stesse evidenze in più revisioni.

Questo non significa che un singolo controllo soddisfi automaticamente ogni requisito. L’interpretazione giuridica resta importante e normative diverse possono richiedere soglie, documentazione e cicli di revisione differenti. La conformità basata sulla governance fornisce però una base riutilizzabile: i controlli possono essere associati agli obblighi, le evidenze possono essere conservate continuamente e le nuove normative possono essere valutate rispetto ai controlli già esistenti.

Snowflake consente alle organizzazioni di collegare i controlli di governance ai flussi di lavoro per la conformità, avvicinando metadati, applicazione delle policy e auditabilità ai dati stessi. Con Snowflake Horizon Catalog, i team possono scoprire, classificare, governare e proteggere i dati in tutto Snowflake, inclusi controlli per l’accesso, il mascheramento, restrizioni a livello di riga, derivazione e classificazione dei dati sensibili.

La cronologia degli accessi Snowflake aggiunge un ulteriore anello alla catena operativa registrando quando le query leggono i dati e quando le istruzioni SQL eseguono operazioni di scrittura, come inserimenti, aggiornamenti, eliminazioni e copie. Per i team che si occupano di conformità, questa cronologia degli accessi collega l’applicazione delle policy alle tracce di audit e alle evidenze.

Inoltre, Snowflake Compliance Center supporta il monitoraggio della postura mostrando informazioni di sintesi sulla postura di sicurezza di un account, inclusi i risultati delle scansioni, la maturità dell’autenticazione sicura e la sicurezza dei dati. Snowflake fornisce anche documentazione e certificazioni sulla conformità attraverso le proprie risorse dedicate, incluse certificazioni globali come SOC 1 Type II, SOC 2 Type II e le certificazioni ISO, oltre a ulteriori informazioni sulla conformità disponibili in base alla regione e al programma.

Nel complesso, queste funzionalità consentono alle organizzazioni di passare dalle intenzioni scritte all’operatività governata e dall’operatività governata a evidenze utili per audit, attestazioni e verifiche normative.

Le normative definiscono obblighi diversi, ma spesso si basano sugli stessi fatti: quali dati esistono, dove vengono trasferiti, chi può accedervi, come sono protetti e se l’organizzazione può dimostrare che il controllo ha funzionato.

Un programma di governance ben gestito acquisisce questi fatti nell’ambito delle normali operazioni sui dati. La classificazione, la proprietà dei dati, il data lineage, le policy di accesso, le regole di conservazione e le tracce di audit diventano controlli riutilizzabili, che possono essere associati alle leggi sulla privacy, ai requisiti di rendicontazione finanziaria, alle regole sulla resilienza operativa, agli standard sanitari e di pagamento e ai framework per la governance dell’AI.