Ποιος στο δικό μας εταιρεία μπορεί να δει ή να τροποποιήσει το αρχείο της αλυσίδας

Ρόλοι και δικαιώματα, όχι ένας λογαριασμός για όλους

Ποιος μπορεί να δει ή να τροποποιήσει το αρχείο της αλυσίδας εφοδιασμού, το αποφασίζει η ίδια η οργάνωση: δεν είναι νόμιμος ρόλος αλλά μια ρύθμιση στο σύστημα. Στην πράξη λειτουργεί με ρόλους: ένας διαχειριστής που μπορεί να τροποποιήσει πεδία και να συνδέσει πηγές, και συνάδελφοι που μπορούν μόνο να διαβάσουν ή να συμπληρώσουν μόνο ένα συγκεκριμένο τμήμα — για παράδειγμα Πληροφορική για τις ερωτήσεις σχετικά με την ασφάλεια των πληροφοριών, και χρηματοδότηση για τα στοιχεία εσόδων. Με αυτόν τον τρόπο δεν χρειάζεται ο καθένας να έχει πρόσβαση σε όλα, και παραμένει σαφές ποιος έχει εισάγει ή επιβεβαιώσει ποια απάντηση.

Αυτή η διάκριση είναι συγκρίσιμη με αυτό που Συμμορφώνονται οι ηλεκτρονικές υπηρεσίες της επιχείρησης με τις απαιτήσεις προσβασιμότητας; και άλλα τεχνικά στοιχεία ζητούν: δεν έχει κάθε υπάλληλος την ίδια γνώση για να αξιολογήσει μια απάντηση. Η ίδια λογική ισχύει για ευαίσθητα πεδία όπως Χρησιμοποιεί η επιχείρηση συστήματα ΤΝ στη διαδικασία παροχής υπηρεσιών; — εκεί θέλετε αυτός ή αυτή που επιβεβαιώνει την απάντηση να καταλαβαίνει επίσης σε τι στοχεύει η ερώτηση. Ποιος τελικά κάνει κλικ στο "ναι" ή "όχι" σε μια λίστα ερωτήσεων, παραμένει επιλογή της ίδιας της οργάνωσης· το σύστημα καταγράφει μόνο ποιος το έκανε και πότε.

Γιατί η διανομή ρόλων είναι καθόλου σχετική

Αυτή η κατηγοριοποίηση δεν προκύπτει από ένα συγκεκριμένο άρθρο νόμου, αλλά από τη φύση των υποκείμενων απαιτήσεων. Τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρουν ρητώς τον έλεγχο πρόσβασης ως μέτρο ελέγχου, και το Παράρτημα A του ISO/IEC 27001 το αναπτύσσει περαιτέρω με συγκεκριμένες ελέγχους για το ποιος μπορεί να δει ή να τροποποιήσει ποια δεδομένα. Ένα αρχείο αλυσίδας εφοδιασμού που περιέχει απαντήσεις σε τέτοιες λίστες ερωτήσεων, υπόκειται στην ίδια λογική: όχι επειδή ο νόμος προδιαγράφει την πλατφόρμα, αλλά επειδή οι λίστες ερωτήσεων καθεαυτές συχνά ζητούν πώς ρυθμίζεται η πρόσβαση στα δεδομένα της εταιρείας. Η διανομή ρόλων στο αρχείο είναι λοιπόν ένα πρακτικό αντανάκλασμα αυτού που ζητείται ήδη σε αυτές τις απαιτήσεις, όχι μια ξεχωριστή υποχρέωση.