ISO 27002:2022 – Kontroll 6.1 – Screening

Syfte med kontroll 6.1

Kontroll 6.1 handlar om bakgrundskontroller som krävs av alla anställda och utvalda leverantörer innan de går med i organisationen.

Kontroll 6.1 förordade en proportionellt tillvägagångssätt till verifieringskontroller som är kopplade till organisationens unika krav, och som omfattar alla relevanta lagar, förordningar och etiska standarder som en organisation håller sig till, var de än verkar.

När de utför kontroller bör organisationer vara uppmärksamma på typen av information som varje anställd/leverantör kommer i kontakt med under hela sin arbetsroll och eventuella tillhörande risker.

Attributtabell för kontroll 6.1

Kontroll 6.1 är en förebyggande kontrollera det upprätthåller risken genom att upprätta en screeningprocess som veterinärar all heltids-, deltids- och tillfällig/tillfällig personal och leverantörer, för att säkerställa att endast lämplig och ordentlig personal har tillgång till information.

Äganderätt till kontroll 6.1

Anställningskontroller utförs vanligtvis innan en person börjar sitt jobb. Som sådan bör ägandet av 6.1 ligga hos en organisations HR-chef.

Allmän vägledning om kontroll 6.1

Screeningaktiviteter bör omfatta följande kontroller:

1. Referenser, inklusive både affärs- och personliga intyg.
2. CV-verifiering, för att säkerställa att kandidaten inte heller har utelämnat någon relevant information och endast har inkluderat korrekt och sanningsenlig information.
3. Bekräftelse av akademiska, yrkesmässiga och yrkesmässiga kvalifikationer och certifieringar.
4. Identitetsverifiering, bekräftad av en tredje parts statliga eller offentliga organisationer (kontroll av pass och/eller körkort).
5. Kreditkontroller och kriminalregisterkontroller, för alla roller som bedöms lämpliga för utökad granskning.

Bakgrundsverifiering inkluderar ofta insamling, bearbetning och överföring av PII och/eller skyddade egenskaper (brittisk lag). Som sådan bör organisationer säkerställa strikt efterlevnad av all rådande arbetslagstiftning, var de än är verksamma.

Detta innebär vanligtvis att man informerar kandidaten om screeningprocessen (både när det gäller uppgifter som behandlas och vad det används till), innan verifieringen utförs.

Screening förfaranden bör tydligt beskriva ansvarig personal för att genomföra screeningen på uppdrag av organisationen, och den bakomliggande anledningen till varför screening görs i första hand.

Om screening ska utföras på leverantörer är det viktigt att inkludera detta krav i eventuella avtal innan tjänster utförs.

När en anställd/leverantör har granskats och anställts, organisationen bör vidta åtgärder för att säkerställa att kandidaten har förmågan att utföra sin roll som annonserats och har visat sig vara en pålitlig individ, särskilt om deras roll inkluderar informationssäkerhetsrelaterade aktiviteter.

Vägledning – Förbättrad kontroll

Kontroll 6.1 ger organisationer ett stort utrymme för de omständigheter som krävs innan de initierar utökade granskningskontroller.

Sådana förfaranden bör beslutas från jobb för arbete, och ingen skillnad bör göras mellan ny personal eller befintlig personal som har befordrats till en roll som innehåller ett större ansvar.

Roller som kräver utökad screening kan definieras som alla som handlar om informationsbehandling som en daglig aktivitet (t.ex. HR), eller vilken roll som helst som inkluderar hantering eller bearbetning av PII, finansiell information eller någon annan typ av känslig information.

Organisationer bör också överväga sätt att verifiera den pågående lämpligheten för all personal som är anställd i en kritisk roll.

Vägledning – ofullständiga verifikationer

Under vissa omständigheter (brådskande anställningar, förseningar från tredje part, ansökningsmisstag etc.) kan screening inte alltid slutföras i tid.

Om detta inträffar bör organisationer överväga alternativa handlingssätt som minimerar riskerna förknippade med en okontrollerad anställd, inklusive:

1. Försenad ombordstigning.
2. Begränsad tillgång till system.
3. Innehålla företagets tillgångar och utrustning.
4. Uppsägning.

Ändringar och skillnader från ISO 27002:2013

27002:2022-6.1 ersätter 27002:2013-7.1.1 (Screening).

27002:2022-6.1 innehåller samma grundläggande vägledningspunkter som 27002:2013-7.1.1, när det gäller att ge organisationer råd om vilken information som krävs att verifieras innan en anställd/leverantör börjar sitt jobb (referenser, CV, identitet etc).

Med utgångspunkt i den grundläggande vägledningen som erbjuds, innehåller 27002:2022-6.1 även ytterligare information om hur organisationer bör reagera på ofullständiga verifieringar, inklusive potentiell uppsägning.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.online-plattformen tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra din ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.

Hör av dig idag för att boka en demo.