What is the difference between RBAC and DAC in Snowflake?

Snowflake uses RBAC (Role-Based Access Control) as the primary model. Roles are assigned to users and permissions are assigned to roles. DAC (Discretionary) is possible via GRANT commands, but RBAC is recommended for enterprise environments.

How does Row-Level Security work in Snowflake?

RLS in Snowflake is implemented using Secure Views or Row Access Policies. Row Access Policies are declarative rules attached to tables that automatically filter rows based on user context (CURRENT_ROLE, session variables).

What is Dynamic Data Masking and how does it differ from static?

Dynamic masking in Snowflake masks sensitive data in real-time based on user role. Unlike static masking, data is not changed in storage - only at query time. Supports various masking functions (SHA2, partial masking, redaction).

How to meet GDPR requirements in Snowflake?

GDPR compliance includes: object tagging for PII identification, row-level security for data isolation, masking for access minimization, audit logging for accountability, and data retention policies. Snowflake supports right to erasure via Time Travel and data sharing controls.

What are best practices for RBAC hierarchy?

We recommend 3-4 levels: ACCOUNTADMIN (emergency only), SYSADMIN (DDL operations), functional roles (ANALYST, ENGINEER, DATA_SCIENTIST), and object access roles. Use role inheritance and separation of duties.

How to audit data access in Snowflake?

Snowflake provides ACCESS_HISTORY view for read/write audit, QUERY_HISTORY for all queries, LOGIN_HISTORY for authentication. Data is retained for 365 days. For compliance reporting, we recommend exporting to a SIEM system.

What is Object Tagging and how to use it for governance?

Object tagging allows assigning metadata to database objects (tables, columns, views). Used for data sensitivity classification (PII, PHI, CONFIDENTIAL), data lineage, cost allocation and masking policy automation.

How to set up Network Policies for enterprise security?

Network policies restrict access to allowed IP ranges or VPN. Combine with Private Link to eliminate public internet. For critical environments use IP whitelisting per-user or per-integration.

What is the difference between Secure View and Masking Policy?

Secure View hides the view definition and prevents optimization that could leak data. Masking Policy is a declarative rule on a column that transforms values. Masking policies are more flexible and reusable across objects.

How to implement data classification in Snowflake?

Use object tagging for manual classification, or Snowflake Data Classification (Enterprise+) for automatic PII detection. Tags then drive masking policies and access controls.

How to meet SOC2 requirements in Snowflake?

SOC2 compliance requires: MFA enforcement, session timeout policies, access reviews (via ACCESS_HISTORY), encryption at rest and in transit (enabled by default), and change management via CI/CD.

What is SCIM and how to use it for user provisioning?

SCIM (System for Cross-domain Identity Management) automates user/group sync from identity provider (Okta, Azure AD, OneLogin). Eliminates manual user management and ensures consistency with corporate directory.

How to set up key pair authentication?

Key pair auth is more secure than password for service accounts and automation. Generate RSA 2048+ keys, store public key in Snowflake (ALTER USER), and private key securely in secrets manager (HashiCorp Vault, AWS Secrets Manager).

What is the cost of Snowflake governance features?

Basic RBAC, secure views and network policies are free. Object tagging, row access policies, dynamic masking and data classification require Enterprise edition. Audit data (ACCESS_HISTORY) is available from Business Critical.

Data Governance

Snowflake Data Governance

Komplexní governance framework pro bezpečnost, compliance a kvalitu dat

Data Governance & Security

Enterprise-grade zabezpečení a správa dat

V éře GDPR, NIS2 a rostoucích kybernetických hrozeb je data governance klíčová. Snowflake nabízí komplexní sadu nástrojů pro řízení přístupu, klasifikaci dat, audit a compliance – vše nativně integrované v platformě.

100%

audit coverage

Real-time

data masking

compliance certifikací

Proč je Snowflake governance jedinečná?

Tradiční řešení vyžadují externí nástroje a komplexní integrace. Snowflake nabízí:

Nativní RBAC (Role-Based Access Control) s hierarchií rolí
Row-level a column-level security bez výkonnostního dopadu
Automatická klasifikace citlivých dat (PII, PHI, PCI)
Kompletní audit trail všech přístupů a operací
Integrace s enterprise identity providery (Okta, Azure AD, SCIM)

Rizika nedostatečné governance

Regulatorní pokuty

GDPR pokuty až 4% globálního obratu, NIS2 sankce

Data breach

Únik citlivých dat = reputační škoda a právní odpovědnost

Insider threats

Nekontrolovaný přístup zaměstnanců k citlivým datům

Audit failures

Neschopnost prokázat compliance při auditech

Podpora compliance standardů

GDPR

Právo na výmaz, data portability, consent management

SOC 2 Type II

Kontinuální audit bezpečnostních kontrol

HIPAA

Ochrana zdravotních údajů s BAA

ISO 27001

Certifikovaný systém řízení bezpečnosti informací

Přínosy Snowflake governance

Zero-trust security

Každý přístup je ověřen, autorizován a zalogován bez výjimek.

Plná transparentnost

Access History, Query History a kompletní audit trail.

Dynamic data masking

Citlivá data jsou maskována v reálném čase podle role uživatele.

Centralizovaná správa

Jednotné místo pro správu uživatelů, rolí a politik.

Naše governance služby

Řízení přístupu

RBAC, DAC a zabezpečení na úrovni řádků/sloupců pro detailní řízení přístupu

Klasifikace dat

Automatická klasifikace a tagování citlivých dat

Sledování datových toků

End-to-end sledování datových toků a transformací

Maskování dat

Dynamické maskování dat pro ochranu osobních údajů

Auditní protokoly

Kompletní auditní stopa všech datových přístupů

Soulad s předpisy

GDPR, HIPAA, SOC 2 compliance frameworky

Implementační proces

Zavedení governance frameworku

Fáze 1: Posouzení

1-2 týdny

Analýza současného stavu
Požadavky na soulad s předpisy
Inventarizace dat
Hodnocení rizik
Analýza nedostatků

Fáze 2: Návrh rámce

2-3 týdny

Governance model
Hierarchie rolí
Definice politik
Klasifikační schéma
Dokumentace procedur

Fáze 3: Implementace

3-6 týdnů

Nasazení řízení přístupu
Vytvoření maskovacích politik
Nastavení sledování datových toků
Konfigurace auditu
Testování a validace

Fáze 4: Provoz

Průběžně

Revize přístupů
Audity souladu s předpisy
Aktualizace politik
Školení
Průběžné zlepšování

Technologický stack

Snowflake governance možnosti

Access Control

RBACRow-Level SecurityColumn MaskingObject Tagging

Compliance

GDPRHIPAASOC2Data Classification

Audit

Access HistoryQuery HistoryLogin HistorySCIM

Security

Network PoliciesPrivate LinkKey Pair AuthMFA

Časté dotazy k Snowflake Governance

Odpovědi na nejčastější otázky o data governance ve Snowflake

Snowflake Governance — klíčová témata

Snowflake Horizon — governance, security a compliance

RBAC, masking, row access policies, Object Tagging, Data Quality Monitoring a Trust Center v jedné platformě.

Snowflake Horizon Catalog

Unified governance vrstva — discovery, lineage, classification, observability a auditing pro všechny Snowflake objekty v jedné UI.

Role-Based Access Control (RBAC)

Hierarchické role (SYSADMIN, SECURITYADMIN, custom), privileges na databázích/schématech/objektech, role inheritance — least privilege model.

Dynamic Data Masking

MASKING POLICY na sloupcích — různí uživatelé vidí různé hodnoty (PII pro privileged, hash pro analytics) bez duplikace dat.

Row Access Policies

ROW ACCESS POLICY filtruje řádky podle role/kontextu — multi-tenant data isolation a regional compliance (GDPR data residency).

Object Tagging a klasifikace

Tags (PII, CONFIDENTIAL, COST_CENTER) na objektech + automated classification přes SYSTEM$CLASSIFY — basis pro tag-based masking policies.

Sensitive Data Auto-Classification

SNOWFLAKE.CORE.CLASSIFY automaticky detekuje PII, PHI, payment data ve sloupcích — output je vstup pro tagging a maskování.

Data Quality Monitoring (DMFs)

Built-in Data Metric Functions (FRESHNESS, NULL_COUNT, UNIQUE_COUNT) + custom DMFs — automated monitoring v ACCOUNT_USAGE.DATA_QUALITY_MONITORING_RESULTS.

Access History a Object Dependencies

ACCESS_HISTORY view — kdo, kdy, jakou query, jaké sloupce. Column-level lineage přes OBJECT_DEPENDENCIES — audit a impact analysis.

Trust Center a Security Scorecard

Snowflake Trust Center skenuje account proti CIS benchmarku a Snowflake best practices — actionable findings pro security posture.

Network Policies a Private Connectivity

NETWORK POLICY (IP allowlist), PrivateLink (AWS/Azure/GCP), Tri-Secret Secure pro customer-managed encryption keys.

Compliance: SOC 2, HIPAA, GDPR, DORA

Snowflake je SOC 2 Type II, HIPAA, PCI DSS, ISO 27001, FedRAMP Moderate certified — vhodné pro regulované odvětví v EU i US.

Differential Privacy a Data Clean Rooms

Data Clean Rooms pro privacy-preserving collaboration mezi organizacemi — aggregations bez vystavení raw dat, native v Snowflake.