vários colaboradores da minha empresa podem fazer login na mesma conta

Múltiplos utilizadores por conta é a norma, não a exceção

Sim, essa é a forma prevista de trabalhar na Supplia. Uma conta está ligada a uma empresa, não a uma pessoa. Colegas que pertencem a essa empresa fazem login cada um com o seu próprio nome de utilizador no mesmo dossiê de cadeia. Isto é conveniente porque os dados na prática vêm de diferentes ângulos: alguém dos RH preenche o número de colaboradores depois, alguém das finanças o volume de negócios, e alguém de TI ou conformidade as perguntas sobre segurança da informação.

Quem exatamente pode ter acesso fica a cargo da própria empresa — a Supplia não estabelece uma distribuição de funções para isso. No entanto, é útil acordar internamente quem gere cada parte, especialmente nos campos sensíveis. Desta forma, o botão de confidencialidade pode ser definido por resposta por quem tem conhecimento disso, sem que todos precisem estar envolvidos em cada detalhe. Isto funciona de forma diferente do que, por exemplo, a pergunta sobre se a empresa tem a certificação ISO 9001em que normalmente uma pessoa gere o certificado mas um colega apenas confirma a resposta antes de esta ser enviada para o portal do cliente.

Por que isto não é um risco de segurança em si

Múltiplas contas num dossiê de cadeia não é um desvio de uma norma de segurança, desde que o acesso e as funções sejam geridos. Isso é exatamente sobre o que trata o Anexo A da ISO/IEC 27001: não sobre a questão de saber se múltiplas pessoas têm acesso, mas sobre como esse acesso é concedido, registado e revogado. Uma empresa que utilize este anexo como referência ao preencher perguntas sobre controlo de acesso pode aplicar a mesma lógica à sua conta Supplia: adicionar e remover utilizadores individualmente, em vez de partilhar uma senha. Isto também está alinhado com o artigo 21.º, n.º 2 da Diretiva NIS2, em que o controlo de acesso é uma das dez medidas mencionadas — embora este artigo diga respeito à proteção da própria organização, não especificamente ao uso da Supplia.