kes kõik pääsevad juurde meie andmetele kaustas

Juurdepääs on asutuse valik, mitte platvormi valik

Me ei määra, kes saab ketifailiga juurde. Seda reguleerib organisatsioon ise, kasutaja ja rolli kaupa. Keegi, kes võib täita ainult identiteediteavet — näiteks seaduslikku nime või registreerimisregistri registreerimisarvu — ei pea selleks näiteks ISO 27001 staatust või vastuseid pankadele suunatuid vaatama. Seda eraldamist on soovitav teha niipea, kui paljud kolleegid töötavad loendite kallal, sest mitte iga osakond ei vaja samaid andmeid oma osa täitmiseks.

Praktikas töötab see rollidega: administraator, kes loob kontosid ja annab õigusi, ja kasutajad, kes saavad ainult lugeda või ka kinnitada. Konfidentsiaalsed väljad — mõelge käibearvu või vastutuskindlustuse üksikasjade peale — saab eraldi varjata, ka kasutajatele, kellel on muul juhul juurdepääs failile. Kes selle seadistab ja kui rangelt, on organisatsiooni valik. Me säilitame andmeid ja näitame neid neile, kellel on selleks volitus; me ei tee sisulisi otsuseid selle kohta, kes näeb millist välja.

Miks meil siin rolli pole

See tuleneb platvormi seadistamise viisist: me ehitame vastanud külge, me ei logi kunagi kliendi portaali sisse ja me ei loe esitatud küsimustikke. Juurdepääsuõiguste haldamine enda failile on seega sama, mis sektor, milles ettevõte tegutseb või töötajate arv: kliendi andmete ja seadete juhtimine, mitte midagi, millest me arvamust anname. See ei ole seotud nõudmetega, mis võivad esinevate küsimustikes käsitleda juurdepääsukontrolli juhtimismeetmena — näiteks ISO/IEC 27001 lisa A-s või NIS2-direktiivi artikli 21 lõike 2 kümnes meetmes. Need nõudmised käsitlevad kliendi organisatsiooni enda seadistamist, mitte selle platvormi seadeid.