Formål med kontroll 6.1
Kontroll 6.1 omhandler bakgrunnssjekker som kreves for alle ansatte og utvalgte leverandører før de tiltrer organisasjonen.
Kontroll 6.1 tok til orde for en proporsjonal tilnærming til verifikasjonskontroller som er knyttet til organisasjonens unike krav, og som omfatter alle relevante lover, forskrifter og etiske standarder som en organisasjon holder seg til, uansett hvor de opererer.
Når de utfører kontroller, bør organisasjoner være oppmerksomme på typen informasjon som hver ansatt/leverandør vil komme i kontakt med gjennom hele jobbrollen, og eventuelle tilhørende risikoer.
Attributttabell for kontroll 6.1
Kontroll 6.1 er en forebyggende kontrollere det opprettholder risiko ved å etablere en screeningsprosess som veterinærer alle heltids-, deltids- og tilfeldige/midlertidige ansatte og leverandører, for å sikre at kun skikket og ordentlig personell har tilgang til informasjon.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Human Resource Security | #Governance og økosystem |
| #Integritet | ||||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 6.1
Ansettelsesverifiseringskontroller utføres vanligvis før en person begynner i jobben. Som sådan bør eierskapet til 6.1 ligge hos en organisasjons HR-sjef.
Generell veiledning om kontroll 6.1
Screeningaktiviteter bør omfatte følgende kontroller:
- Referanser, inkludert både forretningsmessige og personlige attester.
- CV-verifisering, for å sikre at kandidaten verken har utelatt noen relevant informasjon og kun har inkludert nøyaktig og sannferdig informasjon.
- Bekreftelse av akademiske, yrkesfaglige og faglige kvalifikasjoner og sertifiseringer.
- Identitetsbekreftelse, bekreftet av en tredjeparts statlig eller offentlig organisasjon (pass- og/eller førerkortkontroll).
- Kredittsjekk og kriminalitetskontroll, for alle roller som anses egnet for forbedret undersøkelse.
Bakgrunnsverifisering inkluderer ofte innsamling, behandling og overføring av PII og/eller beskyttede egenskaper (britisk lov). Som sådan bør organisasjoner sørge for streng overholdelse av all gjeldende arbeidslovgivning, uansett hvor de opererer.
Dette innebærer vanligvis å informere kandidaten om screeningsprosessen (både når det gjelder data som behandles og hva den brukes til), før verifiseringen utføres.
Screening prosedyrer bør tydelig skissere ansvarlig personell for gjennomføring av screeningen på vegne av organisasjonen, og den underliggende årsaken til at screeningen i utgangspunktet gjennomføres.
Dersom det skal utføres screening på leverandører, er det viktig å inkludere dette kravet i eventuelle kontraktsmessige avtaler før tjenestene ytes.
Når en ansatt/leverandør har blitt kontrollert og ansatt, organisasjonen bør ta skritt for å sikre at kandidaten har evnen til å utføre sin rolle som annonsert, og har vist seg å være en pålitelig person, spesielt hvis deres rolle inkluderer informasjonssikkerhetsrelaterte aktiviteter.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Veiledning – Forbedret vetting
Kontroll 6.1 gir organisasjoner et betydelig spillerom når det gjelder omstendighetene som kreves før de iverksetter forbedrede undersøkelseskontroller.
Slike prosedyrer bør avgjøres fra jobb for jobb, og det bør ikke skilles mellom nye ansatte, eller eksisterende ansatte som har blitt forfremmet til en rolle som har et større ansvar.
Roller som krever utvidet screening kan defineres som enhver som omhandler informasjonsbehandling som en daglig aktivitet (f.eks. HR), eller enhver rolle som inkluderer håndtering eller behandling av PII, finansiell informasjon eller andre typer sensitive data.
Organisasjoner bør også vurdere måter å verifisere den pågående egnetheten til alt personell som er ansatt i en kritisk rolle.
Veiledning – ufullstendige verifikasjoner
Under visse omstendigheter (hastende ansettelser, tredjeparts forsinkelser, søknadsfeil osv.), kan ikke screeningen alltid fullføres i tide.
Der dette skjer, bør organisasjoner vurdere alternative handlingsmåter som minimerer risikoen forbundet med en ikke-screenet medarbeider, inkludert:
- Forsinket ombordstigning.
- Begrenset tilgang til systemer.
- Tilbakeholder selskapets eiendeler og utstyr.
- Oppsigelse.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022-6.1 erstatter 27002:2013-7.1.1 (Screening).
27002:2022-6.1 inneholder de samme grunnleggende veiledningspunkter som 27002:2013-7.1.1, for å gi råd til organisasjoner om hvilken informasjon som kreves verifisert før en ansatt/leverandør begynner i jobben (referanser, CV, identitet osv.).
Med utgangspunkt i den grunnleggende veiledningen som tilbys, inneholder 27002:2022-6.1 også tilleggsinformasjon om hvordan organisasjoner bør reagere på ufullstendige verifikasjoner, inkludert potensiell oppsigelse.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.online-plattformen tilbyr en rekke kraftige verktøy som forenkler måten du kan dokumentere, implementere, vedlikeholde og forbedre styringssystem for informasjonssikkerhet (ISMS) og oppnå samsvar med ISO 27002.
Ta kontakt i dag for å bestill en demo.
