ISO 27001:2022 Bijlage A 6.1 – Screening

• Bekijk ISO 27002:2022 Controle 6.1 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 7.1.1 voor meer informatie.

Wat is het doel van bijlage A 6.1?

Bijlage A 6.1 van ISO 27001:2022 schetst de antecedentenonderzoeken die vereist zijn voor werknemers en geselecteerde leveranciers voordat ze bij de organisatie komen werken.

Bijlage A 6.1 benadrukt het belang van een evenredige aanpak van verificatiecontroles die verband houdt met de unieke vereisten van de organisatie, evenals met alle relevante wet- en regelgeving en ethische normen waaraan de organisatie zich houdt, ongeacht waar zij actief is.

Organisaties moeten rekening houden met het soort informatie waarmee werknemers/leveranciers in aanraking komen als onderdeel van hun functie, en met de daaraan verbonden risico's.

Eigendom van bijlage A 6.1

In ISO 27001:2022 bijlage A 6.1 is een screeningproces voor fulltime, parttime, tijdelijk/tijdelijk personeel en leveranciers vastgelegd om ervoor te zorgen dat informatie alleen toegankelijk is voor geschikte en correcte mensen. Verificatie van het dienstverband wordt doorgaans uitgevoerd voordat iemand met zijn of haar baan begint.

Bijlage A 6.1 zou dat dus moeten zijn eigendom van de HR-manager binnen de organisatie.

Algemene richtlijnen voor bijlage A 6.1

De volgende controles moeten worden opgenomen in de screeningactiviteiten:

1. Attesten van zowel zakelijke als persoonlijke referenties.
2. Het cv moet worden geverifieerd om er zeker van te zijn dat de kandidaat geen relevante informatie heeft weggelaten en dat de informatie accuraat en waarheidsgetrouw is.
3. De bevestiging van professionele, academische en beroepskwalificaties.
4. Verificatie van identiteit door het gebruik van een paspoort of rijbewijs uitgegeven door een overheidsinstantie of een organisatie uit de publieke sector.
5. Elke rol die geschikt wordt geacht voor een betere doorlichting zal worden onderworpen aan krediet- en strafbladcontroles.

Het is bij antecedentenonderzoek gebruikelijk dat persoonlijk identificeerbare informatie en beschermde kenmerken worden verzameld, verwerkt en overgedragen (Britse wet). Daarom moet een organisatie, waar ze ook actief is, zich strikt houden aan de geldende arbeidswetgeving.

In de meeste gevallen houdt dit in dat de kandidaat wordt geïnformeerd over het screeningproces (inclusief welke gegevens worden verwerkt en hoe deze zullen worden gebruikt) voordat het verificatieproces begint.

Het is van essentieel belang dat de screeningprocedures duidelijk aangeven welk personeel verantwoordelijk is voor het uitvoeren van de screening namens de organisatie en waarom de screening überhaupt wordt uitgevoerd.

De eis om leveranciers te screenen moet in alle contractuele overeenkomsten worden opgenomen voordat diensten worden verleend.

Een organisatie moet ervoor zorgen dat zodra een werknemer/leverancier is doorgelicht en aangenomen, deze in staat is om zijn taken uit te voeren zoals geadverteerd, en dat hij of zij betrouwbaar is gebleken, vooral als zijn rol ook taken met betrekking tot informatiebeveiliging omvat.

Uitgebreide screening Bijlage A 6.1

In bijlage A 6.1 wordt organisaties aanzienlijke flexibiliteit geboden bij het bepalen van de omstandigheden voor het initiëren van verscherpte controles.

Er mag geen onderscheid worden gemaakt tussen nieuwe werknemers of bestaande werknemers die zijn gepromoveerd naar functies met grotere verantwoordelijkheid. Dergelijke procedures moeten per taak worden bepaald. Voor functies die dagelijks te maken hebben met informatieverwerking (bijvoorbeeld HR) of die zich bezighouden met informatieverwerking is een betere screening nodig persoonlijke informatie, financiële informatie of andere soorten gevoelige informatie.

Elke organisatie die personeel in cruciale functies in dienst heeft, moet ook manieren overwegen om hun voortdurende geschiktheid te verifiëren.

Onvolledige verificaties Bijlage A 6.1

Soms kan de screening niet tijdig worden voltooid (dringende aanwervingen, vertragingen door derden, enz.).

Een organisatie moet alternatieve handelwijzen overwegen wanneer een niet-gescreend personeelslid wordt aangenomen, waaronder:

• Een vertraagd onboardingproces.
• Systeemtoegang is beperkt.
• Uitrusting en activa van het bedrijf worden achtergehouden.
• De beëindiging van het dienstverband.

Wat zijn de veranderingen en verschillen ten opzichte van ISO 27001:2013?

ISO 27001:2022 bijlage A 6.1 bevat dezelfde essentiële richtlijnen zoals 27001:2013 Bijlage A 7.1.1 met betrekking tot welke informatie moet worden geverifieerd voordat een werknemer/leverancier wordt aangenomen (referenties, CV's, identiteiten, enz.).

Daarnaast biedt ISO 27001:2022 bijlage A 6.1 aanvullende richtlijnen over hoe organisaties moeten omgaan met onvolledige verificaties, inclusief mogelijke beëindiging.

Tabel met alle ISO 27001:2022 bijlage A-controles

In onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

U kunt uw managementsysteem voor informatiebeveiliging (ISMS) en bereik ISO 27001-compliance met behulp van het ISMS.online-platform.

Boordevol exclusieve functies.

Neem vandaag nog contact op en boek een korte demo van 30 minuten.