kto może mieć dostęp do naszych danych w dossier

Dostęp jest wyborem ustawień, a nie wyborem platformy

Nie decydujemy, kto ma dostęp do pliku łańcucha. Organizacja reguluje to sama, dla każdego użytkownika i dla każdej roli. Osoba, która może wypełniać tylko dane tożsamości — takie jak statutowa nazwa lub numer rejestracyjny wpisania — nie musi mieć dostępu np. do statusu ISO 27001 lub odpowiedzi kierowanych do banków. Takie rozdzielenie jest zalecane, gdy nad listami pracuje wielu kolegów, ponieważ nie każdy dział potrzebuje tych samych danych, aby wykonać swoją część pracy.

W praktyce działa to poprzez role: administrator, który tworzy konta i przyznaje uprawnienia, oraz użytkownicy, którzy mogą tylko czytać lub mogą również potwierdzać. Pola poufne — takie jak dane dotyczące przychodów lub szczegóły ubezpieczenia odpowiedzialności cywilnej — można oddzielnie chronić, również dla użytkowników, którzy mają dostęp do reszty pliku. To, kto to ustawia i jak rygorystyczne są warunki, jest wyborem organizacji. Przechowujemy dane i pokazujemy je osobom do tego upoważnionym; nie podejmujemy żadnej decyzji merytorycznej dotyczącej tego, kto widzi które pole.

Dlaczego my tutaj nie mamy roli

Wynika to z tego, jak platforma jest zorganizowana: budujemy stronę odpowiedzi, nigdy się nie logujemy do portalu klienta i nie czytamy przesłanych list pytań. Zarządzanie dostępem do własnego pliku jest zatem tak jak prowadzenie sektor, w którym przedsiębiorstwo operuje lub liczbę pracowników: dane i ustawienia klienta, a nie coś, w sprawie czego wydajemy opinię. Jest to niezależne od wymagań, które mogą pojawić się w samych listach pytań dotyczących kontroli dostępu jako środka bezpieczeństwa — takie jak wymienione w Załączniku A normy ISO/IEC 27001 lub w dziesięciu środkach artykułu 21 ust. 2 dyrektywy NIS2. Te wymagania dotyczą tego, jak sama organizacja klienta jest zorganizowana, a nie ustawień w ramach tej platformy.