кой може да достъпи нашите данни в дневника

Достъпът е избор на учреждението, не избор на платформата

Ние не определяме кой може да има достъп до файла на веригата. Организацията организира това самостойтелно, за всеки потребител и всяка роля. Някой, който има право да попълва само данни за самоличност — например наименованието по устав или номерът на регистрацията при записване — не е необходимо да има достъп например към статуса ISO 27001 или отговорите към банките. Препоръчително е това разделяне, когато повече колеги работят върху списъци, тъй като не всяко отделение се нуждае от същите данни, за да изпълни своята част.

На практика това работи с роли: администратор, който създава сметки и отпуска права, и потребители, които могат само да четат или също могат да потвърждават. Поверителни полета — мислете на цифри за приходи или подробности относно застраховката за отговорност — могат да бъдат отделени, дори и за потребители, които иначе имат достъп до файла. Кой настройва това и колко строго е, е избор на организацията. Ние съхраняваме данните и ги показваме на кой, който е оразмощен; ние не вземаме съдържателното решение относно кой вижда кое поле.

Защо ние нямаме роля в това

Това следва от начина, по който е настроена платформата: ние изграждаме отговорната страна, ние никога не влизаме в портал на клиент и ние не четем подадени списъци с въпроси. Управлението на достъпа до собствения файл е следователно както поддържането на секторът, в който работи предприятието или броя на служителите: данни и настройки на клиента, не нещо, за което ние даваме оценка. Това е отделено от изискванията, които могат да се появят в самите списъци с въпроси относно управлението на достъпа като мярка за контрол — както е посочено в Приложение A на ISO/IEC 27001 или в десетте мерки на член 21, параграф 2 от Директивата NIS2. Тези изисквания са свързани с това как е организована самата организация на клиента, не с настройките в тази платформа.