ISO 27001:2022 Vedlegg A Kontroll 6.1

• Se ISO 27002:2022 Kontroll 6.1 for mer informasjon.
• Se ISO 27001:2013 vedlegg A 7.1.1 for mer informasjon.

Hva er formålet med vedlegg A 6.1?

Vedlegg A 6.1 av ISO 27001: 2022 skisserer bakgrunnssjekkene som kreves for ansatte og utvalgte leverandører før de blir med i organisasjonen.

Vedlegg A 6.1 understreker viktigheten av en forholdsmessig tilnærming til verifikasjonskontroller knyttet til organisasjonens unike krav, samt alle relevante lover, forskrifter og etiske standarder som organisasjonen forholder seg til, uansett hvor de opererer.

Organisasjoner bør vurdere hvilken type informasjon ansatte/leverandører vil komme i kontakt med som en del av deres jobbroller, samt de tilhørende risikoene.

Eierskap til vedlegg A 6.1

I ISO 27001:2022 vedlegg A 6.1 er det etablert en screeningsprosess for heltids-, deltids-, tilfeldig-/vikariat-ansatte og leverandører for å sikre at informasjon kun er tilgjengelig for passende og ordentlige personer. Verifisering av ansettelse utføres vanligvis før en person begynner i jobben.

Vedlegg A 6.1 bør derfor være eid av HR-sjefen innenfor organisasjonen.

Generell veiledning om vedlegg A 6.1

Følgende kontroller bør inkluderes i screeningaktiviteter:

1. Attester fra både forretningsmessige og personlige referanser.
2. CV-en bør verifiseres for å sikre at kandidaten ikke har utelatt relevant informasjon og at informasjonen er nøyaktig og sannferdig.
3. Bekreftelse av faglige, akademiske og yrkesfaglige kvalifikasjoner.
4. Bekreftelse av identitet ved bruk av pass eller førerkort utstedt av et statlig organ eller en offentlig organisasjon.
5. Enhver rolle som anses egnet for forbedret kontroll vil gjennomgå kreditt- og kriminalitetssjekker.

Det er vanlig praksis for bakgrunnssjekker å samle inn, behandle og overføre personlig identifiserbar informasjon og beskyttede egenskaper (britisk lov). Derfor, uansett hvor en organisasjon opererer, bør den følge strengt all gjeldende arbeidslovgivning.

I de fleste tilfeller innebærer dette å informere kandidaten om screeningsprosessen (inkludert hvilke data som behandles og hvordan de skal brukes) før verifiseringsprosessen starter.

Det er viktig at screeningprosedyrer tydelig beskriver personellet som er ansvarlig for å utføre screeningen på vegne av organisasjonen og hvorfor screening utføres i utgangspunktet.

Kravet om screening av leverandører bør inngå i alle kontraktsmessige avtaler før tjenester ytes.

En organisasjon bør sikre at når en ansatt/leverandør har blitt kontrollert og ansatt, har de evnen til å utføre pliktene sine som annonsert, samt har vist seg å være pålitelige, spesielt hvis deres rolle inkluderer informasjonssikkerhetsrelaterte oppgaver.