kas mūsu uzņēmumā var skatīties vai mainīt ketendossier

Lomas un tiesības, nevis viens konts visiem

Kurš var redzēt vai mainīt piegādes ķēdes dossē, nosaka pati organizācija: tā nav likumā paredzēta loma, bet gan sistēmas iestatījums. Praksē tas darbojas ar lomām: administrators, kurš drīkst mainīt laukus un pievienot avotus, un kolēģi, kuri drīkst tikai lasīt vai papildināt tikai noteiktu daļu — piemēram, IT jautājumu par informācijas drošību, un finanšu nodaļa par apgrozījuma datiem. Tādā veidā ne visiem jāpiekļūst vienam un tam pašam, un ir skaidrs, kurš ievadīja vai apstiprināja konkrēto atbildi.

Šis atšķirums ir salīdzināms ar to, ko Vai uzņēmuma tiešsaistes pakalpojumi atbilst pieejamības prasībām? un citi tehniski elementi prasa: ne katrs darbinieks ir ar pietiekamām zināšanām, lai novērtētu atbildi. Viena un tā pati loģika attiecas uz sensitīviem laukiem, piemēram, Vai uzņēmums izmanto AI sistēmas savā pakalpojumu sniegšanā? — tur vēlies, lai tas, kurš apstiprināja atbildi, arī saprastu, uz ko jautājums raugās. Kurš galu galā noklikšķina uz "jā" vai "nē" attiecībā uz jautājumiem, ir pašas organizācijas izvēle; sistēma tikai reģistrē, kurš to izdarīja un kad.

Kāpēc rolu sadalīšana vispār ir nozīmīga

Šis sadalījums neizriet no viena konkrēta likuma panta, bet no pašu pamatprasību rakstura. NIS2 direktīvas 21. panta 2. punkts piemin desmit pasākumus un skaidri nosauc piekļuves kontroli kā drošības pasākumu, un ISO/IEC 27001 A pielikums to detalizē ar konkrētiem vadības pasākumiem, lai noteiktu, kurš drīkst apskatīt vai mainīt datus. Piegādes ķēdes dossē, kas satur atbildes uz šāda veida anketas, ir viena un tā pati loģika: nevis tāpēc, ka likums prasa platformu, bet tāpēc, ka pašas anketas bieži jautā, kā tiek regulēta piekļuve uzņēmuma datiem. Rolu sadalīšana dossējā ir tāpēc praktiski atspoguļo jau minēto prasību loģiku, nevis atsevišķu pienākumu.