ISO 27001:2022 Bijlage A Controle 6.1

• Bekijk ISO 27002:2022 Controle 6.1 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 7.1.1 voor meer informatie.

Wat is het doel van bijlage A 6.1?

Bijlage A 6.1 van ISO 27001:2022 schetst de antecedentenonderzoeken die vereist zijn voor werknemers en geselecteerde leveranciers voordat ze bij de organisatie komen werken.

Bijlage A 6.1 benadrukt het belang van een evenredige aanpak van verificatiecontroles die verband houdt met de unieke vereisten van de organisatie, evenals met alle relevante wet- en regelgeving en ethische normen waaraan de organisatie zich houdt, ongeacht waar zij actief is.

Organisaties moeten rekening houden met het soort informatie waarmee werknemers/leveranciers in aanraking komen als onderdeel van hun functie, en met de daaraan verbonden risico's.

Eigendom van bijlage A 6.1

In ISO 27001:2022 bijlage A 6.1 is een screeningproces voor fulltime, parttime, tijdelijk/tijdelijk personeel en leveranciers vastgelegd om ervoor te zorgen dat informatie alleen toegankelijk is voor geschikte en correcte mensen. Verificatie van het dienstverband wordt doorgaans uitgevoerd voordat iemand met zijn of haar baan begint.

Bijlage A 6.1 zou dat dus moeten zijn eigendom van de HR-manager binnen de organisatie.

Algemene richtlijnen voor bijlage A 6.1

De volgende controles moeten worden opgenomen in de screeningactiviteiten:

1. Attesten van zowel zakelijke als persoonlijke referenties.
2. Het cv moet worden geverifieerd om er zeker van te zijn dat de kandidaat geen relevante informatie heeft weggelaten en dat de informatie accuraat en waarheidsgetrouw is.
3. De bevestiging van professionele, academische en beroepskwalificaties.
4. Verificatie van identiteit door het gebruik van een paspoort of rijbewijs uitgegeven door een overheidsinstantie of een organisatie uit de publieke sector.
5. Elke rol die geschikt wordt geacht voor een betere doorlichting zal worden onderworpen aan krediet- en strafbladcontroles.

Het is bij antecedentenonderzoek gebruikelijk dat persoonlijk identificeerbare informatie en beschermde kenmerken worden verzameld, verwerkt en overgedragen (Britse wet). Daarom moet een organisatie, waar ze ook actief is, zich strikt houden aan de geldende arbeidswetgeving.

In de meeste gevallen houdt dit in dat de kandidaat wordt geïnformeerd over het screeningproces (inclusief welke gegevens worden verwerkt en hoe deze zullen worden gebruikt) voordat het verificatieproces begint.

Het is van essentieel belang dat de screeningprocedures duidelijk aangeven welk personeel verantwoordelijk is voor het uitvoeren van de screening namens de organisatie en waarom de screening überhaupt wordt uitgevoerd.

De eis om leveranciers te screenen moet in alle contractuele overeenkomsten worden opgenomen voordat diensten worden verleend.

Een organisatie moet ervoor zorgen dat zodra een werknemer/leverancier is doorgelicht en aangenomen, deze in staat is om zijn taken uit te voeren zoals geadverteerd, en dat hij of zij betrouwbaar is gebleken, vooral als zijn rol ook taken met betrekking tot informatiebeveiliging omvat.