kdo všechno má přístup k našim údajům v dossieri

Přístup je volba nastavení, nikoli volba platformy

Neurčujeme, kdo má přístup k řetězovému souboru. Tuto záležitost řeší sami organizace, pro každého uživatele a roli zvlášť. Někdo, kdo smí vyplňovat pouze údaje o totožnosti — jako je právní název nebo registrační číslo zápisu — nemusí mít přístup například ke stavu ISO 27001 nebo odpovědím směřovaným bankám. Toto rozdělení se doporučuje, jakmile se na listinách podílí více kolegů, protože ne každé oddělení potřebuje stejné informace ke své práci.

V praxi to funguje prostřednictvím rolí: správce, který vytváří účty a přiděluje práva, a uživatelé, kteří mohou pouze číst nebo také potvrdit. Důvěrná pole — myslíme tím například údaje o tržbách nebo podrobnosti o pojištění odpovědnosti — mohou být odděleny, a to i pro uživatele, kteří mají jinak přístup k souboru. Kdo to nastaví a jak přísně, je volba organizace. Uchovávame údaje a předvádíme je těm, kdo jsou k tomu oprávnění; my nevynášíme žádné věcné rozhodnutí o tom, kdo vidí která pole.

Proč v tom nemáme roli

To vyplývá z toho, jak je platforma postavena: budujeme odpovědní stranu, nikdy se nepřihlašujeme k portálu zákazníka a nečteme předložené dotazníky. Řízení přístupu k vlastnímu souboru je tedy stejně jako údržba sektor, ve kterém je podnik činný nebo počet zaměstnancůúdajů a nastavení zákazníka věc, o níž se nevyslovujeme. To je odděleno od požadavků, které se mohou vyskytovat v samotných dotaznících na téma řízení přístupu jako kontrolní opatření — jak je uvedeno v příloze A normy ISO/IEC 27001 nebo v deseti opatřeních čl. 21 odst. 2 směrnice NIS2. Tyto požadavky se týkají toho, jak je organizace zákazníka sama strukturována, nikoli nastavení v rámci této platformy.