ISO 27001:2022 Bilaga A Kontroll 6.1

• Se ISO 27002:2022 Kontroll 6.1 för mer information.
• Se ISO 27001:2013 bilaga A 7.1.1 för mer information.

Vad är syftet med bilaga A 6.1?

Bilaga A 6.1 av ISO 27001: 2022 beskriver de bakgrundskontroller som krävs för anställda och utvalda leverantörer innan de går med i organisationen.

Bilaga A 6.1 betonar vikten av ett proportionerligt tillvägagångssätt för verifieringskontroller kopplat till organisationens unika krav, samt alla relevanta lagar, förordningar och etiska standarder som organisationen följer, oavsett var de verkar.

Organisationer bör överväga vilken typ av information som anställda/leverantörer kommer i kontakt med som en del av sina jobbroller, såväl som de risker som är förknippade med dem.

Äganderätt till bilaga A 6.1

I ISO 27001:2022 bilaga A 6.1 har en screeningprocess för heltids-, deltids-, tillfällig/tillfällig personal och leverantörer upprättats för att säkerställa att information endast är tillgänglig för vältränade och lämpliga personer. Verifiering av anställning görs vanligtvis innan en person börjar sitt jobb.

Bilaga A 6.1 bör därför vara ägs av HR-chefen inom organisationen.

Allmän vägledning om bilaga A 6.1

Följande kontroller bör ingå i screeningaktiviteter:

1. Intyg från både affärsmässiga och personliga referenser.
2. CV:t bör verifieras för att säkerställa att kandidaten inte har utelämnat någon relevant information och att informationen är korrekt och sanningsenlig.
3. Bekräftelse av professionella, akademiska och yrkesmässiga kvalifikationer.
4. Verifiering av identitet genom användning av pass eller körkort utfärdat av en statlig myndighet eller en offentlig organisation.
5. Alla roller som anses lämpliga för förbättrad granskning kommer att genomgå kredit- och brottsregisterkontroller.

Det är vanligt att bakgrundskontroller samlar in, bearbetar och överför personligt identifierbar information och skyddade egenskaper (brittisk lag). Därför, varhelst en organisation verkar, bör den strikt följa all rådande arbetslagstiftning.

I de flesta fall handlar det om att informera kandidaten om screeningprocessen (inklusive vilken data som behandlas och hur den kommer att användas) innan verifieringsprocessen börjar.

Det är viktigt att screeningprocedurerna tydligt beskriver den personal som ansvarar för att utföra screeningen på uppdrag av organisationen och varför screening utförs i första hand.

Kravet på screening av leverantörer bör ingå i alla avtalsavtal innan tjänster tillhandahålls.

En organisation bör se till att när en anställd/leverantör väl har granskats och anställts, har de förmågan att utföra sina uppgifter som annonseras, samt att de har visat sig vara pålitliga, särskilt om deras roll inkluderar informationssäkerhetsrelaterade uppgifter.