cine poate vedea toți datele din dosarul nostru

Accesul este o alegere a instituției, nu o alegere a platformei

Nu determinăm cine poate accesa dosarul lanțului. Aceasta se reglementează de organizație în sine, per utilizator și per rol. Cineva care poate completa doar date de identitate — cum ar fi denumirea statutară sau numărul de înregistrare al înregistrării — nu trebuie să aibă acces la, de exemplu, starea ISO 27001 sau la răspunsurile către bănci. Această separare este recomandabilă odată ce mai mulți colegi lucrează la liste, deoarece nu fiecare departament are nevoie de aceleași date pentru a-și face partea.

În practică, aceasta funcționează cu roluri: un administrator care creează conturi și atribuie drepturi, și utilizatori care pot doar citi sau pot și confirma. Câmpuri confidențiale — gândiți-vă la cifre de venituri sau detalii despre asigurarea de răspundere — pot fi izolate separat, chiar și pentru utilizatori care au acces la dosarul în rest. Cine stabilește aceasta și cât de strict, este o alegere a organizației. Păstrăm datele și le arătăm celui autorizat să le vadă; nu luăm o decizie de conținut cu privire la cine vede care câmp.

De ce nu avem niciun rol aici

Aceasta rezultă din modul în care este configurată platforma: construim partea de răspuns, nu ne conectăm niciodată la un portal al unui client și nu citim liste de întrebări depuse. Controlul accesului la propriul dosiar este deci, la fel ca menținerea sectorul în care operează întreprinderea sau numărul de angajați: date și setări ale clientului, nu ceva despre care dăm un verdict. Aceasta este separată de cerințele care pot apărea în liste în sine cu privire la controlul accesului ca măsură de control — cum se menționează în Anexa A a ISO/IEC 27001 sau în cele zece măsuri ale articolului 21 alineatul 2 al Directivei NIS2. Aceste cerințe se referă la modul în care este organizată organizația clientului în sine, nu la setările din cadrul acestei platforme.