ISO 27002:2022, Controle 6.1 – Screening

Algemene richtlijnen voor controle 6.1

Screeningsactiviteiten moeten de volgende controles omvatten:

1. Referenties, inclusief zowel zakelijke als persoonlijke attesten.
2. CV-verificatie, om er zeker van te zijn dat de kandidaat geen relevante informatie heeft weggelaten en alleen nauwkeurige en waarheidsgetrouwe informatie heeft opgenomen.
3. Bevestiging van academische, beroeps- en beroepskwalificaties en certificeringen.
4. Identiteitsverificatie, zoals bevestigd door een externe overheidsorganisatie of organisatie uit de publieke sector (paspoort- en/of rijbewijscontroles).
5. Kredietcontroles en controles van het strafblad, voor alle functies die geschikt worden geacht voor uitgebreide screening.

Achtergrondverificatie omvat vaak het verzamelen, verwerken en overdragen van PII en/of beschermde kenmerken (Britse wet). Als zodanig moeten organisaties ervoor zorgen dat de geldende arbeidswetgeving strikt wordt nageleefd, waar ze ook actief zijn.

Meestal gaat het hierbij om het informeren van de kandidaat over het screeningproces (zowel wat betreft de gegevens die worden verwerkt en waarvoor het wordt gebruikt), voordat de verificatie wordt uitgevoerd.

Doorlichting De procedures moeten duidelijk aangeven welk personeel verantwoordelijk is voor het uitvoeren van de screening in opdracht van de organisatie, en de onderliggende reden waarom screening überhaupt wordt uitgevoerd.

Als er screening op leveranciers moet worden uitgevoerd, is het belangrijk om deze vereiste op te nemen in eventuele contractuele overeenkomsten voordat de diensten worden verleend.

Zodra een werknemer/leverancier is doorgelicht en aangenomen, wordt de De organisatie moet stappen ondernemen om ervoor te zorgen dat de kandidaat in staat is zijn of haar rol uit te voeren zoals geadverteerd, en heeft bewezen een betrouwbaar persoon te zijn, vooral als hun rol ook informatiebeveiligingsgerelateerde activiteiten omvat.

Begeleiding – Verbeterde controle

Controle 6.1 geeft organisaties aanzienlijke speelruimte met betrekking tot de omstandigheden die nodig zijn voordat zij verscherpte controles kunnen initiëren.

Dergelijke procedures moeten per functie worden bepaald, en er mag geen onderscheid worden gemaakt tussen nieuw personeel of bestaand personeel dat is gepromoveerd naar een rol met een grotere mate van verantwoordelijkheid.

Rollen die verbeterde screening vereisen, kunnen worden gedefinieerd als rollen die te maken hebben met informatieverwerking als dagelijkse activiteit (bijvoorbeeld HR), of elke rol die de verwerking of verwerking van PII, financiële informatie of andere soorten gevoelige gegevens omvat.

Organisaties moeten ook manieren overwegen om de voortdurende geschiktheid van personeel dat in een cruciale rol werkzaam is, te verifiëren.

Begeleiding – Onvolledige verificaties

In bepaalde omstandigheden (dringende aanwervingen, vertragingen bij derden, sollicitatiefouten enz.) kan de screening niet altijd tijdig worden voltooid.

Wanneer dit gebeurt, moeten organisaties alternatieve maatregelen overwegen die de risico's die gepaard gaan met een niet-gescreend personeelslid tot een minimum beperken, waaronder:

1. Vertraagde onboarding.
2. Beperkte toegang tot systemen.
3. Het inhouden van bedrijfsmiddelen en apparatuur.
4. Beëindiging van het dienstverband.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-6.1 vervangt 27002:2013-7.1.1 (screening).

27002:2022-6.1 bevat dezelfde basisrichtlijnen als 27002:2013-7.1.1, bij het adviseren van organisaties over welke informatie moet worden geverifieerd voordat een werknemer/leverancier in dienst treedt (referenties, CV, identiteit enz.).

Voortbouwend op de aangeboden basisrichtlijnen bevat 27002:2022-6.1 ook aanvullende informatie over hoe organisaties moeten reageren op onvolledige verificaties, inclusief mogelijke beëindiging.

Hoe ISMS.online helpt

Het ISMS.online-platform biedt een reeks krachtige tools die de manier vereenvoudigen waarop u uw gegevens kunt documenteren, implementeren, onderhouden en verbeteren managementsysteem voor informatiebeveiliging (ISMS) en naleving van ISO 27002 bereiken.

Neem vandaag nog contact op met boek een demo.