kes meie ettevõttes saab ketendossiert näha või muuta

Rollid ja õigused, mitte üks konto kõigile

Ketikaust nägemise või muutmise õigused määrab organisatsioon ise: see pole seaduslik roll, vaid süsteemi seade. Praktikas toimib see rollidega: administraator, kes võib välju muuta ja allikaid siduda, ja kolleegid, kes võivad ainult lugeda või vaid mingit kindlat osa täiendada — näiteks IT infoturbealaste küsimuste jaoks ja rahandus käibepartii andmete jaoks. Nii ei pea kõigil olema juurdepääs kõigele, ja on selge, kes millise vastuse sisestas või kinnitas.

See eristus on võrreldav sellega, mida Kas ettevõtte veebiteenused vastavad juurdepääsunõuetele? ja muud tehnikasektori osad küsivad: mitte iga töötaja ei omata piisavalt teadmisi vastuse hindamiseks. Sama loogika kehtib tundlike väljade puhul nagu Kasutab ettevõte oma teenuste osutamise jooksul tehisintellekti süsteeme? — te tahate, et vastuse kinnitav isik ka mõistaks, millele küsimus suunatud on. Kes lõpuks "jah" või "ei" klõpsab küsimustiku juures, jääb organisatsiooni enda valikuks; süsteem registreerib ainult, kes seda tegi ja millal.

Miks rollide jaotus üldse asjakohane on

See jaotus ei tulene ühest konkreetsest seaduseartiklist, vaid enda eeskirjade olemuses. NIS2-direktiivi artikli 21 lõige 2 kümme meetmet mainivad juurdepääsukontrolli selgesõnaliselt kontrollimeetmena, ja ISO/IEC 27001 lisa A töötab seda edasi konkreetsete kontrollmeetmetega selle kohta, kes võib milliseid andmeid näha või muuta. Ketikaust, mis sisaldab vastuseid selliste küsimustike kohta, järgib sama loogikat: mitte sellepärast, et seadus platvormilt seda ette nõuab, vaid sellepärast, et küsimustikud ise küsivad sageli, kuidas juurdepääs äriandmetele on reguleeritud. Rollide jaotus dokumendis on seega praktiliselt kujutatud, mida nendes nõuetes juba küsitakse, mitte eraldi kohustus.