più dipendenti della mia azienda possono accedere con lo stesso account

Più utenti per account è la norma, non l'eccezione

Sì, questo è il modo di lavoro previsto da Supplia. Un account è collegato a un'impresa, non a una persona. I colleghi che appartengono a quell'impresa accedono ciascuno con il proprio nome utente allo stesso fascicolo della catena. Questo è utile perché i dati in pratica provengono da diversi ambiti: qualcuno dall'HR compila il numero di dipendenti da, qualcuno dalla finanza il fatturato, e qualcuno dall'IT o compliance le domande sulla sicurezza delle informazioni.

Chi esattamente può accedere resta una decisione dell'impresa stessa — Supplia non prescrive alcuna distribuzione di ruoli. Tuttavia è opportuno stabilire internamente chi gestisce quale parte, soprattutto per i campi sensibili. In questo modo il pulsante di riservatezza può essere impostato per risposta da chi ne ha competenza, senza che tutti debbano essere coinvolti in ogni dettaglio. Questo funziona diversamente da, ad esempio, la domanda se l'impresa è certificata ISO 9001dove solitamente una persona gestisce il certificato ma un collega conferma solo la risposta prima che vada al portale del cliente.

Perché questo non è un rischio per la sicurezza in sé

Più account su un unico fascicolo della catena non è una deroga da una norma di sicurezza, purché l'accesso e i ruoli siano gestiti. È esattamente quello di cui tratta l'Allegato A di ISO/IEC 27001: non della questione se più persone hanno accesso, ma di come tale accesso viene concesso, registrato e successivamente revocato. Un'impresa che utilizza questo allegato come riferimento nel rispondere a domande sulla gestione degli accessi, può applicare la stessa logica al proprio account Supplia: aggiungere e rimuovere gli utenti singolarmente, invece di condividere una sola password. Questo è in linea con l'articolo 21, paragrafo 2 della direttiva NIS2, dove la gestione degli accessi è una delle dieci misure menzionate — anche se questo articolo riguarda la sicurezza dell'organizzazione stessa, non specificatamente l'uso di Supplia.