ISO 27001:2022 Bijlage A 6.4 – Disciplinair proces

• Bekijk ISO 27002:2022 Controle 6.4 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 7.2.3 voor meer informatie.

Wat is ISO 27001:2022 bijlage A 6.4?

ISO 27001:2022 Annex A 6.4 vereist dat organisaties een disciplinair proces opzetten om als afschrikmiddel te fungeren tegen informatiebeveiliging schendingen.

Er moet formele communicatie over dit proces worden geïmplementeerd en er moet een boete worden vastgesteld die geschikt is voor werknemers en andere belanghebbenden die het informatiebeveiligingsbeleid schenden.

Schending van informatiebeveiliging uitgelegd

Info veiligheidsbeleid overtredingen vormen een inbreuk op de regels voor een goede omgang met informatie. Organisaties stellen dit beleid vast om vertrouwelijke, bedrijfseigen en persoonlijke gegevens, zoals klantgegevens en creditcardnummers, te beschermen. Bovendien is hierin ook een computerbeveiligingsbeleid opgenomen om ervoor te zorgen dat gegevens die op computers zijn opgeslagen veilig en intact blijven.

Als u bedrijfs-e-mail gebruikt om persoonlijke communicatie te verzenden zonder toestemming van uw supervisor, kan dit een inbreuk op het bedrijfsbeleid vormen. Mocht u bovendien een fout maken bij het gebruik van de apparatuur of software van het bedrijf, wat resulteert in schade aan de apparatuur of de gegevens die erop zijn opgeslagen, dan is dit ook een overtreding van het informatiebeveiligingsbeleid.

Als een medewerker het informatiebeveiligingsbeleid van een organisatie schendt, kunnen disciplinaire maatregelen of ontslag het gevolg zijn. In bepaalde situaties kan een bedrijf ervoor kiezen om een ​​werknemer die het computergebruiksbeleid schendt niet te ontslaan, maar andere passende stappen te ondernemen om verdere schendingen van het bedrijfsbeleid te stoppen.

Het doel van ISO 27001:2022 bijlage A 6.4?

Het doel van het disciplinaire proces is ervoor te zorgen dat het personeel en andere belanghebbenden de gevolgen van een inbreuk op het informatiebeveiligingsbeleid onderkennen.

Bijlage A 6.4 is bedoeld om eventuele schendingen van het informatiebeveiligingsbeleid af te schrikken en te helpen, en ervoor te zorgen dat werknemers en andere gerelateerde belanghebbenden zich bewust zijn van de gevolgen.

Een effectief informatiebeveiligingsprogramma moet de capaciteit omvatten om passende disciplinaire maatregelen te nemen tegen werknemers die de informatiebeveiligingsregels schenden. Als u dit doet, zorgt u ervoor dat het personeel de gevolgen begrijpt van het negeren van vooraf gedefinieerde voorschriften, waardoor de kans op opzettelijk of onbedoeld gegevenslekken wordt verkleind.

Voorbeelden van activiteiten die kunnen worden opgenomen bij het afdwingen van deze controle zijn:

• Voer regelmatig trainingen uit om het personeel op de hoogte te houden van beleidswijzigingen.
• Ontwerp disciplinaire maatregelen voor het niet naleven van het informatiebeveiligingsbeleid.
• Geef elke werknemer een kopie van de disciplinaire procedures van de organisatie.
• Zorg er in soortgelijke situaties voor dat de disciplinaire procedures consequent worden gevolgd.

De in het kader geschetste disciplinaire maatregelen moeten na een incident snel worden geïmplementeerd om verdere schendingen van het organisatiebeleid te ontmoedigen.

Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan

Om te ontmoeten vereisten van bijlage A 6.4 moeten disciplinaire maatregelen worden genomen als er aanwijzingen zijn dat het beleid, de procedures of de regelgeving van de organisatie niet worden nageleefd. Hieronder valt ook eventuele toepasselijke wet- en regelgeving.

Volgens bijlage A 6.4 moet het formele disciplinaire proces rekening houden met de volgende elementen bij het kiezen van een geleidelijke aanpak:

• Er moet rekening worden gehouden met de omvang van de inbreuk, de aard, de ernst en de gevolgen ervan.
• Of de overtreding opzettelijk of per ongeluk was.
• Ongeacht of het om een ​​eerste of herhaalde overtreding gaat.
• Er moet worden overwogen of de overtreder voldoende is opgeleid.

Houd bij het ondernemen van actie rekening met alle relevante wettelijke, wetgevende, regelgevende, contractuele en zakelijke verplichtingen, evenals met alle andere relevante factoren.

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 bijlage A 6.4 vervangt ISO 27001:2013 Bijlage A 7.2.3 in de herziene versie van 2022 van ISO 27001.

ISO 27001:2022 maakt gebruik van gebruiksvriendelijke taal om ervoor te zorgen dat de gebruikers van de norm de inhoud ervan kunnen begrijpen. Er zijn kleine variaties in de formulering, maar de algehele context en inhoud blijven hetzelfde.

Het enige verschil dat u zult opmerken is dat het bijlage A-controlenummer is gewijzigd van 7.2.3 in 6.4. Bovendien heeft de 2022-standaard het extra voordeel van een attributentabel en een doelverklaring die ontbreken in de 2013-versie.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.

Wie is verantwoordelijk voor dit proces?

In de meeste gevallen wordt toezicht gehouden op het disciplinaire proces door de afdelingsmanager of HR-vertegenwoordiger. Het is niet ongebruikelijk dat de HR-vertegenwoordiger de verantwoordelijkheid voor disciplinaire maatregelen overdraagt ​​aan iemand anders in de organisatie, zoals een informatiebeveiligingsexpert.

Het primaire doel van disciplinaire maatregelen is om de organisatie te beschermen tegen eventuele verdere overtredingen door het personeelslid. Het is verder bedoeld om verdere soortgelijke incidenten te voorkomen door ervoor te zorgen dat alle werknemers zich bewust zijn van de betekenis van inbreuken op de informatiebeveiliging.

Het is essentieel voor elke organisatie om ervoor te zorgen dat er disciplinaire maatregelen worden genomen wanneer een personeelslid een van haar beleidsregels of procedures heeft overtreden. Om dit te garanderen moeten duidelijke richtlijnen worden opgesteld over de manier waarop met dergelijke situaties moet worden omgegaan, inclusief instructies over hoe onderzoeken moeten worden uitgevoerd en welke acties daarna moeten worden ondernomen.

Wat betekenen deze veranderingen voor u?

Als u zich afvraagt ​​welke gevolgen deze wijzigingen voor u hebben, vindt u hier een beknopte samenvatting van de meest kritische punten:

• U hoeft niet opnieuw te certificeren; het is maar een kleine wijziging.
• Behoud uw huidige certificering totdat deze verloopt, op voorwaarde dat deze geldig blijft.
• Er zijn geen grote wijzigingen aangebracht in ISO 27001:2022 bijlage A 6.4.
• Het doel is om de standaard in lijn te brengen met de meest actuele best practices en standaarden.

Als je winst wilt maken ISMS-certificering, moet u uw beveiligingsmaatregelen beoordelen om er zeker van te zijn dat ze voldoen aan de herziene norm.

Om inzicht te krijgen in de impact die de nieuwe ISO 27001:2022 zou kunnen hebben op uw gegevensbeveiligingsprocedures en ISO 27001-accreditatie, verwijzen wij u naar onze gratis ISO 27001:2022-gids.

Hoe ISMS.Online helpt

ISMS.online is toonaangevend ISO 27001 managementsysteemsoftware, wat helpt bij het voldoen aan de ISO 27001-norm. Het helpt bedrijven ervoor te zorgen dat hun beveiligingsbeleid en -procedures in overeenstemming zijn met de vereisten.

Deze cloud-gebaseerd platform biedt een volledig scala aan tools om organisaties te helpen bij het opzetten van een Information Security Management System (ISMS) op basis van ISO 27001.

Deze hulpmiddelen bestaan ​​uit:

• Er is een bibliotheek met sjablonen voor veel voorkomende bedrijfsdocumenten beschikbaar.
• Er bestaat een verzameling vooraf vastgestelde richtlijnen en protocollen.
• Er is een audittool beschikbaar om interne audits te vergemakkelijken.
• Er wordt een interface geboden om het beleid en de procedures van het Information Security Management System (ISMS) te personaliseren.
• Alle wijzigingen in beleid en procedures moeten worden goedgekeurd via een workflowproces.
• Maak een lijst om ervoor te zorgen dat uw beleid en informatiebeschermingsmaatregelen in overeenstemming zijn met internationale normen.

ISMS.Online biedt gebruikers de mogelijkheid om:

• Behandel alle aspecten van de ISMS-levenscyclus met gemak.
• Krijg direct inzicht in hun beveiligingsstatus en complianceproblemen.
• Integreer met andere systemen zoals HR, financiën en projectmanagement.
• Zorg ervoor dat het ISMS voldoet aan de ISO 27001-criteria.

ISMS.Online biedt advies over hoe u uw ISMS optimaal kunt uitvoeren, met begeleiding bij het vormen van beleid en bijbehorende protocollen risicobeheer, training van personeel op het gebied van veiligheidsbewustzijn en voorbereiding op incidentrespons.

Neem nu contact met ons op een demonstratie plannen.