¿pueden varios empleados de mi empresa iniciar sesión en la misma cuenta

Varios usuarios por cuenta es la norma, no la excepción

Sí, esa es la forma prevista de trabajar en Supplia. Una cuenta está vinculada a una empresa, no a una persona. Los compañeros que pertenecen a esa empresa inician sesión cada uno con su propio nombre de usuario en el mismo expediente de cadena. Esto es útil porque en la práctica los datos proceden de diferentes áreas: alguien del departamento de recursos humanos rellena el número de empleados , alguien de finanzas los ingresos, y alguien de TI o cumplimiento normativo las preguntas sobre seguridad de la información.

Quién exactamente puede acceder lo decide la propia empresa — Supplia no prescribe una distribución de funciones para ello. Sin embargo, es útil acordar internamente quién gestiona cada sección, especialmente en campos sensibles. De esta forma, el botón de confidencialidad se puede establecer por respuesta por quién entienda del tema, sin que todos tengan que estar informados de cada detalle. Esto funciona de manera diferente a, por ejemplo, la cuestión de si la empresa está certificada en ISO 9001, donde generalmente una persona gestiona el certificado pero un compañero solo confirma la respuesta antes de que se envíe al portal del cliente.

Por qué esto no es un riesgo de seguridad en sí mismo

Varias cuentas en un expediente de cadena no es una desviación de una norma de seguridad, siempre que el acceso y los roles se gestionen adecuadamente. Eso es exactamente de qué trata el Anexo A de la ISO/IEC 27001: no de si varias personas tienen acceso, sino de cómo se concede, registra y revoca ese acceso. Una empresa que utilice este anexo como referencia al responder preguntas sobre control de acceso puede aplicar la misma lógica a su propia cuenta de Supplia: añadir y eliminar usuarios individualmente, en lugar de compartir una contraseña. Esto también está en línea con el artículo 21, apartado 2, de la Directiva NIS2, donde el control de acceso es una de las diez medidas mencionadas — aunque ese artículo trata sobre la seguridad de la propia organización, no específicamente sobre el uso de Supplia.