qui peut accéder aux données de notre dossier

L'accès est un choix de configuration, non un choix de plateforme

Nous ne déterminons pas qui peut accéder au dossier de chaîne. L'organisation elle-même le règle, par utilisateur et par rôle. Quelqu'un qui ne peut remplir que les données d'identité — comme la dénomination sociale ou le numéro d'enregistrement de l'inscription — n'a pas besoin d'avoir accès à, par exemple, le statut ISO 27001 ou aux réponses destinées aux banques. Cette séparation est recommandée dès que plusieurs collègues travaillent sur les listes, car chaque département n'a pas forcément besoin des mêmes données pour accomplir sa part.

En pratique, cela fonctionne par rôles : un administrateur qui crée les comptes et attribue les droits, et des utilisateurs qui peuvent seulement consulter ou aussi confirmer. Les champs confidentiels — pensez aux chiffres de chiffre d'affaires ou aux détails de l'assurance responsabilité — peuvent être protégés séparément, même pour les utilisateurs qui ont par ailleurs accès au dossier. Qui le configure et à quel point strictement, c'est un choix de l'organisation. Nous conservons les données et les affichons à qui en est autorisé ; nous ne prenons aucune décision de fond sur qui voit quel champ.

Pourquoi nous n'avons pas de rôle ici

Cela découle de la façon dont la plateforme est conçue : nous construisons le côté réponse, nous ne nous connectons jamais à un portail d'un client et nous ne lisons aucune liste de questions soumise. La gestion des accès au dossier propre est donc, comme le maintien de le secteur d'activité de l'entreprise ou le nombre de salariés: les données et les paramètres du client, quelque chose sur lequel nous ne portons aucun jugement. Ceci est distinct des exigences qui peuvent figurer dans les listes de questions elles-mêmes concernant la gestion des accès en tant que mesure de contrôle — comme mentionné à l'Annexe A de ISO/IEC 27001 ou dans les dix mesures de l'article 21, paragraphe 2 de la directive NIS2. Ces exigences portent sur la façon dont l'organisation du client elle-même est structurée, non sur les paramètres au sein de cette plateforme.