Kartlegg roller før kontoer opprettes
Redaktøren, prosjektlederen, kassereren og konservatoren trenger ulike opplysninger. Beskriv oppgaver og nødvendig informasjon. Ikke gi hele organisasjonen tilgang til kontrakter eller personalgrunnlag fordi alle bruker samme samarbeidsrom.
| Rolle | Typisk avgrensning |
|---|---|
| Registrerer | Legger inn eget grunnlag uten betalingsfullmakt |
| Godkjenner | Bekrefter avtale eller leveranse innenfor mandat |
| Økonomi | Kontrollerer og behandler nødvendig økonomisk grunnlag |
| Administrator | Forvalter teknikk med avklart innsyn og logging |
Bruk virksomhetens identiteter
Unngå delte personlige kontoer som gjør det umulig å se hvem som gjorde en endring. Avtal eier for administratorrettigheter og gjenoppretting. En ekstern leverandør skal ikke være eneste person som kan åpne eller eksportere organisasjonens data.
Ved ny rolle, permisjon eller avsluttet oppdrag må tilgang vurderes. Gjennomgå også aktive API-nøkler, delte mapper og eksterne portaler. Det er lett å stenge e-post og glemme distributørkontoen.
Avklar behandling av personopplysninger
Når en leverandør behandler personopplysninger på virksomhetens vegne, må rolle og avtalegrunnlag vurderes. Datatilsynets veiledning om databehandleravtale gir rammen for denne vurderingen. En teknisk tilgang er ikke i seg selv en fullstendig avtale.
Dokumenter tilgangsbeslutninger og avtal periodisk kontroll. Særlig små virksomheter trenger et enkelt opplegg som faktisk blir fulgt.
Se overlevering og leverandørexit.