hvem kan se alle vores data i dossieret

Adgang er et organisationsvalg, ikke et platformvalg

Vi bestemmer ikke, hvem der kan få adgang til kædefolderen. Det reguleres af organisationen selv, pr. bruger og pr. rolle. En person, der kun må udfylde identitetsoplysninger — som det registrerede navn eller registreringsnummeret for indskrivningen — behøver ikke at have indsigt i for eksempel ISO 27001-status eller svar rettet mod banker. Denne adskillelse anbefales, så snart flere kolleger arbejder med lister, da ikke hver afdeling har brug for de samme oplysninger for at udføre sit arbejde.

I praksis fungerer det med roller: en administrator, der opretter konti og tildeler rettigheder, og brugere, der kun kan læse eller også kan bekræfte. Fortrolige felter — som omsætningstal eller detaljer om ansvarsforsikring — kan være særskilt afskærmet, også for brugere, der ellers har adgang til folderen. Hvem der indstiller det, og hvor strengt, er et valg for organisationen. Vi gemmer dataene og viser dem for den, der er autoriseret til det; vi træffer ingen indholdsbestemmelse om, hvem der ser hvilket felt.

Hvorfor vi ikke har en rolle her

Det følger af, hvordan platformen er struktureret: vi bygger svarsiden, vi logger aldrig ind på en kundes portal, og vi læser ikke indsendte spørgeskemaer. Adgangsstyring til egen folder er således som at vedligeholde den sektor, som virksomheden er aktiv i eller antallet af medarbeidere: kundens data og indstillinger, ikke noget, vi træffer en vurdering om. Dette adskiller sig fra de krav, der kan forekomme i spørgeskemaer selv om adgangsstyring som kontrolmål — som nævnt i Bilag A til ISO/IEC 27001 eller i de ti foranstaltninger i artikel 21 stk. 2 i NIS2-direktivet. Disse krav handler om, hvordan kundens organisation selv er organiseret, ikke om indstillingerne inden for denne platform.