tko može vidjeti naše podatke u datoteci

Pristup je izbor institucije, ne izbor platforme

Nismo mi odredili tko može pristupiti ketendossier-u. To regulira sama organizacija, prema svakom korisniku i prema svakoj ulozi. Neko tko smije ispuniti samo podatke o identitetu — kao što je zakonski naziv ili broj registracije upisa — ne mora imati uvid u primjerice ISO 27001-status ili odgovore usmjerene bankama. Preporučuje se to odvajanje čim na popisima radi više kolega, jer ne treba svakom odjelu isti podatci da bi obavila svoj dio posla.

U praksi to funkcionira s ulogama: upravitelj koji kreira račune i dodjeljuje prava, te korisnici koji mogu samo čitati ili mogu i potvrditi. Povjerljiva polja — pomislite na brojke o prometu ili pojedinosti osiguranja od odgovornosti — mogu se zasebno zaštititi, čak i za korisnike koji inače imaju pristup dossier-u. Tko to postavi i koliko strogo, izbor je organizacije. Čuvamo podatke i prikazujemo ih onima koji su za to ovlašteni; ne donosimo nikakvu odluku o sadržaju o tome tko koji field vidi.

Zašto nemamo ulogu ovdje

To proizlazi iz kako je platforma postavljena: gradimo stranu za odgovore, nikad se ne prijavljujemo na portalu korisnika i ne čitamo podnesene popise pitanja. Upravljanje pristupom vlastiti dossier-u je dakle kao i održavanje sektor u kojem poduzeće posluje ili broj zaposlenihpodataka: podaci i postavke korisnika, a ne nešto o čemu donosimo sudove. Ovo je odvojeno od zahtjeva koji mogu biti zastupljeni u samim popisima pitanja o upravljanju pristupom kao mjeri nadzora — kao što je navedeno u Prilogu A standarda ISO/IEC 27001 ili u deset mjera članka 21. stavka 2. NIS2-direktive. Ti zahtjevi govore o tome kako je sama organizacija korisnika organizirana, a ne o postavkama unutar ove platforme.