kas gali matyti mūsų duomenis failų sistemoje

Prieiga yra institucijos pasirinkimas, o ne platformos pasirinkimas

Mes nenutariam, kas gali prieiti prie grandinės dossier. Tai reguliuoja pati organizacija, kiekvienam naudotojui ir kiekvienam vaidmeniui. Tas, kuris gali užpildyti tik tapatybės duomenis — pavyzdžiui, nustatymo pavadinimą arba registracijos numerį — neturi pereiti peržiūrėti, pavyzdžiui, ISO 27001 būseną arba atsakymus bankams. Šią atsiskyrą rekomenduojama atlikti kai tik keliems kolegoms bendradarbiaujant su sąrašais, nes ne kiekvienas skyrius turi tuos pačius duomenis, kurių reikia atliekant savo dalį.

Praktikoje tai veikia naudojant vaidmenis: administratorius, kuris sukuria paskyras ir suteikia teises, bei naudotojai, kurie gali tik skaityti arba taip pat gali patvirtinti. Konfidencialūs laukai — pagalvokite apie pardavimų skaičius arba išsamią informaciją apie atsakomybės draudimą — gali būti atskirai ekranuojami, net naudotojams, kurie turiu prieigą prie dossier. Kas tai nustato ir kaip griežtai, yra organizacijos pasirinkimas. Mes saugojame duomenis ir juos rodomos tiems, kurie tam yra įgalioti; mes neimame jokio turinio sprendimo, kas kokį lauką mato.

Kodėl šioje srityje neteikime jokio vaidmens

Tai kyla iš to, kaip platforma yra sudaryta: mes statome atsakų pusę, mes niekada neprisiregistruojame prie kliento portalo ir neskaitome pateiktų klausimynų. Prieiga prie savojo dossier yra tokia pati kaip ir sektoriaus, kuriame veikia įmonė, ar darbuotojų skaičiaus: kliento duomenys ir nustatymai, o ne tai, dėl kurio mes teikiame nuomonę. Tai atsiskiria nuo reikalavimų, kurie gali pasirodyti pačiuose klausimynuose dėl prieigos kontrolės kaip kontrolės priemonės — pavyzdžiui, nurodytos ISO/IEC 27001 priede A arba dešimtyje NIS2 direktyvos 21 straipsnio 2 dalies priemonių. Šie reikalavimai liečia tai, kaip pati kliento organizacija yra sutvarkyta, o ne nustatymai šioje platformoje.