Кой в нашето предприятие може да вижда или да изменя кетенния файл

Роли и права, не един акаунт за всички

Кой може да вижда или да променя веригата от досиета, определя самата организация: това не е законна роля, а инсталация в системата. На практика то функционира с роли: администратор, който може да променя полета и да свързва източници, и колеги, които могат само да четат или да попълват само определена част — например IT за въпросите относно защитата на информацията и финанси за данните за обема продажби. По този начин не всеки трябва да има достъп до всичко и остава ясно кой е въвел или потвърдил кой отговор.

Това разграничение е сравнимо с това, което Отговарят ли онлайн услугите на предприятието на изискванията за достъпност? и други технически компоненти искат: не всеки служител има еднакви познания, за да оцени отговор. Същата логика се прилага и за чувствителни полета като Използва ли предприятието AI системи при своята услугодейност? — там искаш лицето, което потвърждава отговора, да разбира и на какво претендира въпросът. Кой в крайна сметка щрака върху "да" или "не" при въпросник, остава избор на самата организация; системата само записва кой е направил това и кога.

Защо разпределението на ролите е важно изобщо

Това разделение не произтича от един специфичен законодателен член, а от характера на самите основни изисквания. Десетте мерки на член 21, параграф 2 на NIS2 указание явно споменават контрола на достъпа като мярка за управление, и Приложение A на ISO/IEC 27001 го развива по-нататък с конкретни контроли за това кой може да вижда или променя какви данни. Верига от досиета, която съдържа отговори на този вид въпросници, попада под същата логика: не защото законът предписва платформата, а защото самите въпросници често питат как е регулиран достъпът до бизнес данни. Разпределението на ролите в досието е следователно практическо отражение на това, което вече се пита в тези изисквания, а не отделна задължение.