Kdo lahko dostopa do naših podatkov v datoteki?

Dostop je izbira institucije, ne izbira platforme

Ne odločamo, kdo ima dostop do verižnega dossieja. To ureди sama organizacija, za vsakega uporabnika in vlogo posebej. Nekdo, ki sme izpolniti samo podatke o identiteti — na primer zakonsko ime ali registracijsko število vpisa — ni nujno, da ima vpogled v na primer status ISO 27001 ali odgovore bankami. Takšno ločitev priporočamo takoj, ko več kolegov sodeluje pri seznamih, ker ne potrebuje vsak oddelek enake podatke, da opravi svoj del dela.

V praksi to deluje z vlogami: skrbnik, ki ustvarja račune in dodeluje pravice, ter uporabniki, ki lahko samo berejo ali pa lahko tudi potrdijo. Zaupni polji — mislimo na podatke o prihodkih ali podatke o zavarovalnici za odgovornost — se lahko ločeno zaščitijo, tudi za uporabnike, ki imajo sicer dostop do dossieja. Kdo to nastavi in kako strogo, je izbira organizacije. Podatke hranimo in jih pokažemo tistim, ki so za to pooblaščeni; ne sprejmemo nobenega odločitve glede vsebine o tem, kdo kaj vidi.

Zakaj nimamo tu vloge

To izhaja iz tega, kako je platforma postavljena: gradimo odgovorni del, se nikoli ne prijavimo na portal stranke in ne beremo vloženih vprašalnikov. Nadzor dostopa do lastnega dossieja je torej kot vodenje panoga, v kateri je podjetje aktivno ali število zaposlenih: podatki in nastavitve stranke, ne nekaj, o čemer bi dali mnenje. To je ločeno od zahtev, ki se lahko pojavijo v samih vprašalnikih glede nadzora dostopa kot ukrepa za obvladovanje — kot je navedeno v Prilogio A standarda ISO/IEC 27001 ali v desetih ukrepih člena 21(2) direktive NIS2. Te zahteve govorijo o tem, kako je sama organizacija stranke urejena, ne o nastavitvah znotraj te platforme.