Snowflake laat CoCo governancebeleid omzetten in SQL
Snowflake heeft meer details gegeven over Intent-Driven Governance, een workflow in CoCo waarmee organisaties in gewone taal kunnen aangeven welke gevoelige data moet worden beschermd. CoCo analyseert de bestaande situatie, stelt governance-controls voor en genereert na goedkeuring de SQL om deze toe te passen. De functie is beschikbaar als public preview.
Intent-Driven Governance is bedoeld om het opzetten en onderhouden van datagovernance minder afhankelijk te maken van handmatig geschreven policies en SQL. Gebruikers kunnen bijvoorbeeld aangeven dat persoonsgegevens in een bepaalde database moeten worden beschermd of dat specifieke rollen bepaalde data niet onbeveiligd mogen zien.
CoCo brengt vervolgens eerst de bestaande omgeving in kaart. Daarbij kijkt de toepassing onder meer naar databases, rollen, bestaande policies, tags, classificatieprofielen en data die nog niet is beschermd.
Op basis daarvan stelt CoCo een governanceplan op. Daarin worden de gewenste maatregelen gekoppeld aan onder meer tags, masking policies en classificatieprofielen. Iedere stap moet expliciet worden goedgekeurd voordat de volgende wordt uitgevoerd.
Governance als workflow
Na goedkeuring vertaalt CoCo het plan naar SQL op basis van bestaande Snowflake-functies. Gebruikers kunnen de gegenereerde SQL eerst controleren voordat veranderingen daadwerkelijk worden uitgevoerd.
Snowflake gebruikt daarbij een zogeheten spec-driven werkwijze. Na een uitgevoerde en geverifieerde wijziging wordt een onveranderbare versie opgeslagen met onder meer de oorspronkelijke observaties, het goedgekeurde beleid, de governance-specificatie, de SQL en een overzicht van de uitvoering.
Ook houdt de workflow rekening met rechten. Wanneer de actieve rol onvoldoende privileges heeft om een maatregel toe te passen, voert CoCo volgens Snowflake geen gedeeltelijke wijziging uit. In plaats daarvan wordt aangegeven welke rechten nodig zijn en kan het pakket worden overgedragen aan iemand met de juiste privileges.
Controle op veranderingen
Intent-Driven Governance kan daarnaast controleren of de geïmplementeerde governance later afwijkt van het goedgekeurde beleid. Daarvoor kunnen periodieke controles worden ingesteld op wijzigingen in masking policies, classificatieprofielen en rollen.
Bij een afwijking met een hoge prioriteit kan Snowflake een melding via e-mail of webhook versturen. Daarbij wordt aangegeven wat er is veranderd en welke maatregelen mogelijk nodig zijn.
De functie kan ook interne beleidsdocumenten en branchespecifieke regels als context gebruiken. CoCo kan deze informatie meenemen bij het bepalen welke data als gevoelig moet worden aangemerkt en welke controls daarbij passen.
Intent-Driven Governance staat als open public preview vermeld en is beschikbaar voor alle Snowflake-accounts. Snowflake vermeldt in zijn release notes dat de preview sinds augustus beschikbaar is.
Bron: Snowflake
