虽然没有人对业务范围内的数据管理战略需求有异议，但是其实施过程确是一场坚苦的攻坚战。目前看起来，成功的关键在于是否有合理的分工。Merri Beth Lavagnino，这位Indiana大学的首席保密官（chief privacy officer），在学校工作已经超过两年半。

　　当Lavagnino在2007年开始建立一套针对信息安全和隐私保护的管理流程时，对于这项工作的紧急性没有太多的争议。在此前的一年，Indiana州新制定的数据泄露通知法案已经开始实行。当因为数据的不当处理导致个人隐私可能受到侵犯时，雇主们必须对此负责。此外，相对于学生和雇员数据的保护和限制访问管理活动，Indiana大学的信息安全和个人隐私政策也未能及时跟进。

　　Lavagnino在San Diego举行的Burton Group Catalyst Conference上针对隐私问题发言说：“我们原先的思路是利用分布式技术提供尽可能多的数据访问可能性，以此来提升自身业务，但是隐私问题的引入使得这种想法被完全颠覆了。”

　　更糟糕的是，员工本身也变得无所适从。Lavagnino认为由于Indiana大学没有统一的数据管理和安全标准，员工们很难清楚自己的行为是否规范。因此校长萌生了重新制定信息安全和隐私管理机制的想法。这项工作由IT部门主导，Lavagnino就是这里的首席信息策略官（chief information policy officer）：IT部门和数据管理员执行委员会一起拟订了一份信息处理标准集草案，作为所有员工的行为指导。但是这于事无补。

　　“我们尝试了两年试图让数据管理员控制一切信息，而不仅仅是其业务领域的数据，”Lvagnino说，“这项工作进行得非常艰难。”

　　Lavagnino说这些管理员是学校各个业务部门的领导，比如人力资源部门，学生档案部门以及法律咨询部门等等。为了使委员会适应新的管理环境召开了多次会议。建立了附属委员会分别负责信息管理政策制定，宣贯和培训。相应的角色和职责划分给了行政管理，业务管理，技术管理部门以及用户。Lavagnino表示所有这些举措的目标是“使隐私政策对于员工来说是切实可行的。”

　　2009年11月13日 – “一个可悲的日子，”Lavagnino调侃到 – 数据管理员委员会拒绝再继续信息管理政策　　方面的工作。这个政策接受了两次正式的审查，由副校长，七个校区的校长和教工委员会签署。Lavagnino说：“这是最后一个版本，已经准备提交审批！但是他们说‘不’。”

　　各部门领导人在对自己擅长的领域制定政策时都很配合，但是他们在信息管理方面无法“告诉别人该怎么做”，即使对于普遍被认可的隐私政策也是如此，比如维护数据的准确性和采集限制。

　　实施数据管理战略的要求

　　Gwen Thomas（Data Governance Institute主席）认为必须要有对实施数据管理战略的推动因素，而且还需要高级别的发起人 -- 正如Indiana大学的信息安全和隐私项目一样。同样的，其他一些更微妙而且同样重要的因素也是必需的。她在最近于MIT举行的一次研讨会上解释说，因为数据管理会导致对立情绪，所以实施者必须具有行政权力来压制不同意见。Thomas还认为这类项目需要参与者在时间进度上严格的承诺，受人信任并且能和其他人顺畅沟通的项目经理，以及了解商业数据系统细节的数据信息分析员。

　　Indiana大学继续为信息隐私建立管理流程而努力。在“已消逝的最初的沮丧”之后，Lavignino说，IT专家们重新在一起开始工作。在接下来的6个月中，项目团队在管理方面进行了研究，会见专家们并和大学教职工进行了交流。

　　“我们认为首先需要将管理战略和数据管理相分离，前者对于学校中的所有信息来说都是相同的，而后者是战略实施的技术性细节，”Lavagnino说。下一步就是找出这两部分最合适的负责人。在IT界，普遍被接受的看法是业务来驱动政策。而在这个例子中，很明显首先应该由合规专家（compliance experts）来起草信息处理标准以实施学校的隐私法规，而后才是由业务部门的专家来制定数据管理的标准。

　　“我们知道合规人员能够监督信息处理要求的制定工作，与此同时我们也明白业务部门的人员无法在短时间内胜任这项工作 – 因为学习曲线太陡峭了，”Lavagnino表示。

　　另一个事后的教训是：“你确实需要允许成员的退出。有些人不再将视野扩展到自己的领域之外，或者是不愿意或者是因为能力所限，”Lavagnino说。

　　Ian Glazer，Burton集团identity and privacy战略团队的高级分析师，认为向人们提供退出的机制，对于任何类型的管理方案的起步而言，是一条微妙而且重要的建议。“就Indiana大学的例子来说，人们从传统上对其有抵触。他们没有感到压力，与此同时也没有平静退出的途径。于是，他们敷衍了事直到有一天开口说，‘不，我们不再继续下去了，’”，Glazer说到。

　　Glazer补充说，把战略性质和运作性质的事情分开，将使得那些不愿意涉及战略事物的人能够退出并保持足够的体面。