ISO 27002:2022 – Kontrol 6.1 – Screening

Formål med kontrol 6.1

Kontrol 6.1 omhandler baggrundskontrol som kræves af alle medarbejdere og udvalgte leverandører, før de tiltræder organisationen.

Kontrol 6.1 fortaler for en proportional tilgang til verifikationstjek, der er knyttet til organisationens unikke krav, og som omfatter alle de relevante love, regler og etiske standarder, som en organisation holder sig til, uanset hvor de opererer.

Når de udfører kontrol, bør organisationer være opmærksomme på typen af oplysninger, som hver enkelt medarbejder/leverandør vil komme i kontakt med gennem hele deres jobrolle og eventuelle tilknyttede risici.

Attributter Kontroltabel 6.1

Kontrol 6.1 er en forebyggende kontrollere det fastholder risiko ved at etablere en screeningsproces, der behandler alle fuldtidsansatte, deltidsansatte og tilfældige/midlertidige medarbejdere og leverandører, for at sikre, at kun egnet og ordentligt personale er i stand til at få adgang til information.

Ejerskab af kontrol 6.1

Beskæftigelsesverifikationstjek udføres normalt før en person starter på sit job. Som sådan bør ejerskabet af 6.1 ligge hos en organisations HR Manager.

Generel vejledning om kontrol 6.1

Screeningsaktiviteter bør omfatte følgende kontroller:

1. Referencer, herunder både forretningsmæssige og personlige attester.
2. CV-bekræftelse for at sikre, at kandidaten hverken har udeladt nogen relevant information og kun har inkluderet nøjagtige og sandfærdige oplysninger.
3. Bekræftelse af akademiske, faglige og faglige kvalifikationer og certificeringer.
4. Identitetsbekræftelse, som bekræftet af en tredjeparts statslig eller offentlig organisation (pas- og/eller kørekortkontrol).
5. Kredittjek og kontrol af straffeattest, for alle roller, der anses for at være egnede til forbedret kontrol.

Baggrundsverifikation omfatter ofte indsamling, behandling og overførsel af PII og/eller beskyttede karakteristika (britisk lov). Som sådan bør organisationer sikre streng overholdelse af enhver gældende beskæftigelseslovgivning, uanset hvor de opererer.

Dette involverer normalt at informere kandidaten om screeningsprocessen (både med hensyn til data, der behandles og hvad det bruges til), før verifikationen udføres.

Screening procedurerne bør klart angive det ansvarlige personale for at udføre screeningen på vegne af organisationen, og den bagvedliggende årsag til, at der i første omgang foretages screening.

Hvis der skal udføres screening på leverandører, er det vigtigt at medtage dette krav i eventuelle kontraktlige aftaler, før ydelser udføres.

Når en medarbejder/leverandør er blevet undersøgt og ansat, skal den organisationen bør tage skridt til at sikre, at kandidaten har evnen til at udføre deres rolle som annonceret og har vist sig at være en pålidelig person, især hvis deres rolle omfatter informationssikkerhedsrelaterede aktiviteter.

Vejledning – Forbedret vetting

Kontrol 6.1 giver organisationer et betydeligt spillerum med hensyn til de omstændigheder, der kræves, før de påbegynder forbedrede kontrolkontroller.

Sådanne procedurer bør besluttes fra job til job, og der bør ikke skelnes mellem nyt personale eller eksisterende personale, der er blevet forfremmet til en rolle, der indeholder et større ansvar.

Roller, der kræver udvidet screening, kan defineres som enhver, der omhandler informationsbehandling som en daglig aktivitet (f.eks. HR), eller enhver rolle, der omfatter håndtering eller behandling af PII, finansiel information eller enhver anden type følsomme data.

Organisationer bør også overveje måder, hvorpå de kan verificere den løbende egnethed af personale, der er ansat i en kritisk rolle.

Vejledning – ufuldstændige verifikationer

Under visse omstændigheder (hastende ansættelser, tredjeparts forsinkelser, ansøgningsfejl osv.), er screeningen ikke altid i stand til at gennemføres rettidigt.

Hvor dette sker, bør organisationer overveje alternative handlingsmuligheder, der minimerer de risici, der er forbundet med en ikke-screenet medarbejder, herunder:

1. Forsinket onboarding.
2. Begrænset adgang til systemer.
3. Tilbageholdelse af virksomhedens aktiver og udstyr.
4. Ophør af ansættelsesforhold.

Ændringer og forskelle fra ISO 27002:2013

27002:2022-6.1 erstatter 27002:2013-7.1.1 (Screening).

27002:2022-6.1 indeholder de samme grundlæggende vejledningspunkter som 27002:2013-7.1.1, i at rådgive organisationer om, hvilke oplysninger der skal verificeres, før en medarbejder/leverandør starter deres job (referencer, CV, identitet osv.).

Med udgangspunkt i den tilbudte grundlæggende vejledning indeholder 27002:2022-6.1 også yderligere oplysninger om, hvordan organisationer skal reagere på ufuldstændige verifikationer, herunder potentiel opsigelse.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online platformen tilbyder en række kraftfulde værktøjer, der forenkler den måde, du kan dokumentere, implementere, vedligeholde og forbedre din informationssikkerhedsstyringssystem (ISMS) og opnå overensstemmelse med ISO 27002.

Kontakt i dag for book en demo.