chi può accedere tutti i dati del nostro dossier

L'accesso è una scelta organizzativa, non una scelta della piattaforma

Non decidiamo chi possa accedere al fascicolo della catena. Lo gestisce l'organizzazione stessa, per ogni utente e per ogni ruolo. Qualcuno che può compilare solo dati di identità — come il nome legale o il numero di registrazione dell'iscrizione — non ha necessariamente accesso, ad esempio, allo stato ISO 27001 o alle risposte destinate alle banche. È consigliabile separare questo non appena più colleghi lavorano alle liste, perché non ogni dipartimento ha bisogno degli stessi dati per svolgere la sua parte.

In pratica funziona con i ruoli: un amministratore che crea account e assegna diritti, e utenti che possono solo leggere o anche confermare. I campi riservati — si pensi ai dati di fatturato o ai dettagli sulla polizza di responsabilità civile — possono essere schermati separatamente, anche per gli utenti che hanno comunque accesso al fascicolo. Chi lo configura e quanto rigorosamente è una scelta dell'organizzazione. Conserviamo i dati e li mostriamo a chi è autorizzato; non prendiamo alcuna decisione sostanziale su chi vede quale campo.

Perché non abbiamo un ruolo in questo

Ciò deriva da come è strutturata la piattaforma: costruiamo il lato della risposta, non ci colleghiamo mai a un portale di un cliente e non leggiamo le liste di domande presentate. La gestione dell'accesso al proprio fascicolo è quindi come il mantenimento di il settore in cui l'impresa esercita attività o il numero di dipendenti: dati e impostazioni del cliente, non qualcosa su cui esprimiamo un giudizio. Questo è indipendente dai requisiti che possono comparire nei questionari stessi riguardo al controllo dell'accesso come misura di controllo — come menzionato nell'Allegato A di ISO/IEC 27001 o nelle dieci misure dell'articolo 21, paragrafo 2 della direttiva NIS2. Questi requisiti riguardano come l'organizzazione del cliente è strutturata di per sé, non le impostazioni all'interno di questa piattaforma.