Kto všetko má prístup k našim údajom v zázname

Prístup je voľbou inštitúcie, nie platformy

Neurčujeme, kto má prístup k reťazovému spisu. Túto záležitosť reguluje sama organizácia, pre každého používateľa a pre každú rolu. Niekto, kto smie vyplniť len identifikačné údaje — napríklad právnu formu alebo registračné číslo zápisu — nemusí mať prístup napríklad k stavu ISO 27001 alebo k odpoveďam smerovaným bankám. Toto oddelenie sa odporúča hneď, keď na listinách pracuje viacero kolegov, pretože nie každé oddelenie potrebuje rovnaké údaje na vykonávanie svojej časti.

V praxi to funguje s rolami: správca, ktorý vytvára účty a prideľuje práva, a používatelia, ktorí môžu len čítať alebo aj potvrdzovať. Dôverné polia — myslite na údaje o obrate alebo podrobnosti o poistení zodpovednosti — je možné oddelene chrániť, aj pre používateľov, ktorí majú inak prístup k spisu. Kto to nastaví a ako prísne, je voľbou organizácie. Údaje uchovávame a zobrazujeme ich tým, kto je na to oprávnený; nerozhodobujeme o tom, ktorý používateľ vidí ktoré pole.

Prečo v tom nemáme žiadnu úlohu

To vyplýva z toho, ako je platforma nastavená: budujeme stranu odpovedí, nikdy sa neprihlasujeme na portál klienta a nečítame odoslané zoznamy otázok. Správa prístupu k vlastnému spisu je teda rovnako ako vedenie sektor, v ktorom podnik pôsobí alebo počet zamestnancovúdajov a nastavení klienta veci, na ktoré nemáme názor. To je nezávislé od požiadaviek, ktoré sa môžu vyskytovať v samotných zoznamoch otázok na riadenie prístupu ako riadiaceho opatrenia — ako je uvedené v prílohe A normy ISO/IEC 27001 alebo v desiatich opatreniach uvedených v čl. 21 ods. 2 smernice NIS2. Tieto požiadavky sa týkajú spôsobu, ako je organizácia klienta sama usporiadaná, nie nastavení v rámci tejto platformy.