kuka voi katsoa dossierimme tietoja

Pääsy on asetusvalinta, ei alustavalinta

Emme päätä, kuka pääsee ketjutiedostoon. Organisaatio säätää sen itse käyttäjä- ja roolikohtaisesti. Joku, joka saa täyttää vain tunnistetiedot — kuten virallisen nimen tai rekisteröinnin numeroa — ei tarvitse nähdä esimerkiksi ISO 27001 -tilaa tai vastauksia pankeille. On suositeltavaa erottaa ne, kun useampi kollega työskentelee listoilla, koska kaikilla osastoilla ei ole samoja tietotarpeita oman osuutensa tekemiseksi.

Käytännössä se toimii rooleilla: ylläpitäjä, joka luo tilit ja määrittää oikeudet, sekä käyttäjät, jotka voivat vain lukea tai vahvistaa. Luottamukselliset kentät — kuten liikevaihtoluvut tai vastuuvakuutuksen yksityiskohdat — voidaan suojata erikseen, myös käyttäjiltä, joilla on muuten pääsy tiedostoon. Sen määrittäminen ja kuinka tiukasti se tehdään, on organisaation valinta. Säilytämme tiedot ja näytämme ne niille, joilla on siihen lupa; emme tee sisällöllistä päätöstä siitä, kuka näkee mitkä kentät.

Miksi meillä ei ole tässä roolia

Se johtuu siitä, miten alusta on rakennettu: rakennimme vastauspuolta, emme koskaan kirjaudu asiakkaan portaaliin ja emme lue lähetetyjä kyselylomakkeita. Pääsy omaan tiedostoon on siis aivan kuten ala, jolla yritys toimii tai työntekijöiden lukumäärän: asiakkaan tiedot ja asetukset, ei asia, johon annamme arvion. Tämä on erillään kyselylomakkeissa itsessään esiintyvistä vaatimuksista pääsyn hallinnasta hallintotoimenpiteenä — kuten ISO/IEC 27001:n liitteessä A tai NIS2-direktiivin 21 artiklan 2 kohdan kymmenessä toimenpiteessä mainittu. Nämä vaatimukset koskevat asiakkaan organisaation omaa järjestämistä, ei tämän alustan asetuksia.