kdo v našem podjetju lahko vidi ali spreminja datoteko verige dobaviteljev

Vloge in pravice, ne en račun za vse

Kdo lahko vidi ali spremeni verigo dokumentov, določi sama organizacija: to ni pravna vloga, ampak nastavitev v sistemu. V praksi deluje z vlogami: administrator, ki sme spreminjati polja in povezovati vire, ter sodelavci, ki smejo samo brati ali samo dopolniti določen del — na primer IT za vprašanja o varnosti informacij in finance za podatke o prometu. Na ta način ni potrebno, da ima vsakdo dostop do vsega, in je jasno, kdo je vnesel ali potrdil katerikoli odgovor.

To razliko je mogoče primerjati s tem, kar Ali spletne storitve podjetja izpolnjujejo zahteve dostopnosti? in drugi tehnični deli zahtevajo: ne vsak delavec ima dovolj znanja, da presodi odgovor. Ista logika velja za občutljiva polja, kot so Ali podjetje uporablja sisteme umetne inteligence pri svojih storitvah? — tu želiš, da oseba, ki potvrdi odgovor, razume, kaj vprašanje sprašuje. Kdo na koncu klikne »ja« ali »ne« pri vprašalniku, ostane izbira same organizacije; sistem le beležka, kdo je to storil in kdaj.

Zakaj je delitev vlog sploh relevantna

Ta razdelitev ne izhaja iz enega posebnega člena zakona, ampak iz narave temeljnih zahtev samih. Deset ukrepov člena 21 odstavka 2 direktive NIS2 eksplicitno omenjajo nadzor dostopa kot kontrolni ukrep, Priloga A standarda ISO/IEC 27001 pa to dodatno razdeluje s konkretnimi kontrolami za to, kdo sme videti ali spreminjati katere podatke. Veriga dokumentov, ki vsebuje odgovore na tovrstne vprašalnike, spada pod isto logiko: ne zato, ker zakon predpisuje platformo, ampak ker vprašalniki sami pogosto sprašujejo, kako je reguliran dostop do poslovnih podatkov. Delitev vlog v dokumentu je torej praktičan odsev tega, kar že zahtevajo te zahteve, ne pa ločena obveznost.