ISO 27001:2022 Bilag A Kontrol 6.1

• Se ISO 27002:2022 Kontrol 6.1 for mere information.
• Se ISO 27001:2013 Bilag A 7.1.1 for mere information.

Hvad er formålet med bilag A 6.1?

Bilag A 6.1 af ISO 27001: 2022 skitserer de baggrundstjek, der kræves for medarbejdere og udvalgte leverandører, før de tiltræder organisationen.

Bilag A 6.1 understreger vigtigheden af ​​en forholdsmæssig tilgang til verifikationstjek knyttet til organisationens unikke krav, samt alle relevante love, regler og etiske standarder, som organisationen overholder, uanset hvor de opererer.

Organisationer bør overveje den type information, som medarbejdere/leverandører vil komme i kontakt med som en del af deres jobroller, samt de dermed forbundne risici.

Ejerskab af bilag A 6.1

I ISO 27001:2022 Annex A 6.1 er der etableret en screeningsproces for fuldtids-, deltids-, tilfældigt/midlertidigt personale og leverandører for at sikre, at information kun er tilgængelig for egnede og ordentlige mennesker. Bekræftelse af ansættelsen udføres normalt, før en person påbegynder sit job.

Bilag A 6.1 bør derfor være ejet af HR-chefen inden for organisationen.

Generel vejledning om bilag A 6.1

Følgende kontroller bør indgå i screeningsaktiviteter:

1. Attester fra både erhvervsmæssige og personlige referencer.
2. CV'et skal verificeres for at sikre, at kandidaten ikke har udeladt nogen relevant information, og at oplysningerne er nøjagtige og sandfærdige.
3. Bekræftelse af faglige, akademiske og erhvervsmæssige kvalifikationer.
4. Bekræftelse af identitet ved brug af pas eller kørekort udstedt af en offentlig myndighed eller en offentlig organisation.
5. Enhver rolle, der anses for egnet til forbedret kontrol, vil gennemgå kredit- og straffeattest.

Det er almindelig praksis for baggrundstjek at indsamle, behandle og overføre personligt identificerbare oplysninger og beskyttede karakteristika (britisk lov). Uanset hvor en organisation opererer, bør den derfor nøje overholde enhver gældende ansættelseslovgivning.

I de fleste tilfælde involverer dette at informere kandidaten om screeningsprocessen (herunder hvilke data der behandles, og hvordan de vil blive brugt), før verifikationsprocessen begynder.

Det er vigtigt, at screeningsprocedurer klart beskriver det personale, der er ansvarligt for at udføre screeningen på vegne af organisationen, og hvorfor screeningen udføres i første omgang.

Kravet om screening af leverandører bør indgå i alle kontraktlige aftaler, før ydelser leveres.

En organisation bør sikre, at når en medarbejder/leverandør er blevet undersøgt og ansat, har de evnen til at udføre deres opgaver som annonceret, samt at de har vist sig at være troværdige, især hvis deres rolle omfatter informationssikkerhedsrelaterede opgaver.