kurš viss var piekļūt mūsu datiem dossierā

Piekļuve ir iestādes izvēle, nevis platformas izvēle

Mēs nenosakām, kurš var piekļūt ķēdes failam. To organizācija organizē pati, katram lietotājam un katrai lomai. Kāds, kurš drīkst aizpildīt tikai identifikācijas datus — piemēram, statūtāro nosaukumu vai reģistrācijas numuru — nav jāizpēta, piemēram, ISO 27001 statusu vai atbildes bankām virzienā. Šo atdalīšanu ieteicams veikt, tiklīdz vairāki kolēģi strādā pie sarakstiem, jo ne katra nodaļa ir nepieciešami tiem pašiem datiem, lai paveiktu savu daļu.

Praksē tas darbojas ar lomām: administrators, kas izveido kontus un piešķir tiesības, un lietotāji, kas var tikai lasīt vai arī var apstiprināt. Konfidenciālie lauki — piemēram, apgrozījuma skaitļi vai detaļas par civiltiesiskās atbildības apdrošināšanu — var tikt atsevišķi aizsargāti, arī lietotājiem, kuriem citādi ir piekļuve failam. Kas to iestata un cik stingri, ir organizācijas izvēle. Mēs glabājam datus un parādām tos tiem, kuriem uz to ir pilnvara; mēs nepieņemam satura lēmumu par to, kurš redz kuru lauku.

Kāpēc mums šeit nav lomas

Tas izriet no tā, kā platforma ir izveidota: mēs veidojam atbildes pusi, mēs nekad neierakstāmies klienta portālā un neizlasām iesniegtus jautājumārus. Tāpēc piekļuves kontrole savai failam ir tāpat kā nozari, kurā uzņēmums darbojas vai darbinieku skaits: klienta dati un iestatījumi, nevis kaut kas, par ko mēs sniedzam vērtējumu. Tas ir atsevišķi no prasībām, kas var parādīties pašos jautājumāros par piekļuves kontroli kā draudzības pasākumu — kā minēts ISO/IEC 27001 A pielikumā vai NIS2 direktīvas 21. panta 2. punktā minētajos desmit pasākumos. Šīs prasības attiecas uz to, kā paša klienta organizācija ir izveidota, nevis uz iestatījumiem šajā platformā.