ISO 27001:2022 Annex A 6.1 – Screening

• Se ISO 27002:2022 Kontroll 6.1 för mer information.
• Se ISO 27001:2013 bilaga A 7.1.1 för mer information.

Vad är syftet med bilaga A 6.1?

Bilaga A 6.1 av ISO 27001: 2022 beskriver de bakgrundskontroller som krävs för anställda och utvalda leverantörer innan de går med i organisationen.

Bilaga A 6.1 betonar vikten av ett proportionerligt tillvägagångssätt för verifieringskontroller kopplat till organisationens unika krav, samt alla relevanta lagar, förordningar och etiska standarder som organisationen följer, oavsett var de verkar.

Organisationer bör överväga vilken typ av information som anställda/leverantörer kommer i kontakt med som en del av sina jobbroller, såväl som de risker som är förknippade med dem.

Äganderätt till bilaga A 6.1

I ISO 27001:2022 bilaga A 6.1 har en screeningprocess för heltids-, deltids-, tillfällig/tillfällig personal och leverantörer upprättats för att säkerställa att information endast är tillgänglig för vältränade och lämpliga personer. Verifiering av anställning görs vanligtvis innan en person börjar sitt jobb.

Bilaga A 6.1 bör därför vara ägs av HR-chefen inom organisationen.

Allmän vägledning om bilaga A 6.1

Följande kontroller bör ingå i screeningaktiviteter:

1. Intyg från både affärsmässiga och personliga referenser.
2. CV:t bör verifieras för att säkerställa att kandidaten inte har utelämnat någon relevant information och att informationen är korrekt och sanningsenlig.
3. Bekräftelse av professionella, akademiska och yrkesmässiga kvalifikationer.
4. Verifiering av identitet genom användning av pass eller körkort utfärdat av en statlig myndighet eller en offentlig organisation.
5. Alla roller som anses lämpliga för förbättrad granskning kommer att genomgå kredit- och brottsregisterkontroller.

Det är vanligt att bakgrundskontroller samlar in, bearbetar och överför personligt identifierbar information och skyddade egenskaper (brittisk lag). Därför, varhelst en organisation verkar, bör den strikt följa all rådande arbetslagstiftning.

I de flesta fall handlar det om att informera kandidaten om screeningprocessen (inklusive vilken data som behandlas och hur den kommer att användas) innan verifieringsprocessen börjar.

Det är viktigt att screeningprocedurerna tydligt beskriver den personal som ansvarar för att utföra screeningen på uppdrag av organisationen och varför screening utförs i första hand.

Kravet på screening av leverantörer bör ingå i alla avtalsavtal innan tjänster tillhandahålls.

En organisation bör se till att när en anställd/leverantör väl har granskats och anställts, har de förmågan att utföra sina uppgifter som annonseras, samt att de har visat sig vara pålitliga, särskilt om deras roll inkluderar informationssäkerhetsrelaterade uppgifter.

Förbättrad besiktning Annex A 6.1

I bilaga A 6.1 ges organisationer stor flexibilitet när det gäller att fastställa omständigheterna för att initiera utökade granskningskontroller.

Ingen skillnad bör göras mellan nyanställda eller befintliga medarbetare som befordrats till roller med större ansvar. Sådana procedurer bör bestämmas jobb för jobb. Förbättrad screening krävs för tjänster som dagligen handlar om informationsbehandling (t.ex. HR) eller som hanterar eller bearbetar Personlig information, finansiell information eller någon annan typ av känslig information.

Varje organisation som anställer personal i kritiska roller bör också överväga sätt att verifiera deras fortsatta lämplighet.

Ofullständiga verifikationer Bilaga A 6.1

Ibland kan screening inte slutföras i tid (brådskande anställningar, förseningar från tredje part, etc.).

En organisation bör överväga alternativa tillvägagångssätt när en okontrollerad anställd anställs, inklusive:

• En försenad onboardingprocess.
• Systemåtkomst är begränsad.
• Bolagets utrustning och tillgångar undanhålls.
• Uppsägning av anställning.

Vilka är ändringarna och skillnaderna från ISO 27001:2013?

ISO 27001:2022 bilaga A 6.1 innehåller samma väsentliga vägledningspunkter som 27001:2013 Bilaga A 7.1.1 angående vilka uppgifter som ska verifieras innan en anställd/leverantör anställs (referenser, CV, identiteter etc.).

Dessutom ger ISO 27001:2022 bilaga A 6.1 ytterligare vägledning om hur organisationer ska hantera ofullständiga verifieringar, inklusive potentiell uppsägning.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Bilaga A Kontrollera.

Hur ISMS.online Hjälp

Du kan dokumentera, implementera, underhålla och förbättra din ledningssystem för informationssäkerhet (ISMS) och uppnå ISO 27001-efterlevnad med hjälp av ISMS.online-plattformen.

Fullpackad med exklusiva funktioner.

Hör av dig idag och boka en kort 30-minuters demo.