ISO 27002:2022 – Controle 6.5 – Verantwoordelijkheden na beëindiging of verandering van dienstverband

Wat is controle 6.5?

Controle 6.5 in ISO 27002:2022 bestrijkt de noodzaak voor organisaties om de taken en verantwoordelijkheden op het gebied van informatiebeveiliging te definiëren die geldig blijven als personeel stopt met werken of naar een nieuwe afdeling verhuist.

Deze taken en verantwoordelijkheden moeten zowel aan de werknemer als aan elke andere relevante partij worden gecommuniceerd.

Informatieplichten en verantwoordelijkheden uitgelegd

Informatieplichten en verantwoordelijkheden zijn de verplichtingen die een werknemer heeft jegens zijn of haar werkgever als het gaat om de omgang met vertrouwelijke informatie. De plicht om informatie vertrouwelijk te houden is in de meeste staten een wettelijke verplichting, dus het is belangrijk dat werknemers begrijpen wat ze moeten doen als het gaat om het beschermen van de informatie van hun werkgever.

In de meeste gevallen hebben werkgevers het recht om van hun werknemers niet alleen te verwachten dat zij vertrouwelijke informatie beschermen informatie, maar gebruik die informatie ook niet voor persoonlijk gebruik verkrijgen, bijvoorbeeld door handel met voorkennis of andere illegale activiteiten.

Voorbeelden van taken en verantwoordelijkheden op het gebied van informatiebeveiliging zijn onder meer:

• Bescherming van de vertrouwelijkheid van persoonlijke informatie.
• Het bijhouden van de manier waarop persoonlijke informatie wordt verwerkt, gebruikt en openbaar gemaakt.
• Om ervoor te zorgen dat de informatie accuraat en betrouwbaar is. Dit houdt onder meer in dat ervoor moet worden gezorgd dat de gegevens uit een betrouwbare bron zijn verzameld, veilig zijn opgeslagen en veilig worden verwijderd wanneer ze niet langer nodig zijn.
• Om ervoor te zorgen dat alleen geautoriseerde mensen toegang hebben tot informatie.
• Om te gebruiken en openbaar te maken persoonsgegevens eerlijk en rechtmatig, in overeenstemming met de relevante wetten.

Als organisatie is het belangrijk om uw situatie te begrijpen verantwoordelijkheden bij het omgaan met persoonlijke informatie omdat u hierdoor het overtreden van de privacywetten kunt voorkomen, wat ernstige gevolgen kan hebben voor zowel uw bedrijf als uw werknemers.

Attributen Controletabel 6.5

Besturingselementen worden geclassificeerd met behulp van attributen. Hiermee kunt u uw besturingsselectie snel afstemmen op veelgebruikte termen en specificaties in de branche.

Attributen voor controle 6.5 zijn:

Wat is het doel van controle 6.5?

Controle 6.5 is een controle die moet worden geïmplementeerd wanneer een medewerker of opdrachtnemer de organisatie verlaat, of het contract wordt beëindigd voordat het afloopt.

Het doel van deze controle is het beschermen van de informatiebeveiligingsbelangen van de organisatie als onderdeel van het proces van het wijzigen of beëindigen van dienstverbanden of contracten.

Deze controle kan ook werken ter bescherming tegen de risico voor werknemers die toegang hebben tot gevoelige informatie en processen, waarbij zij hun positie misbruiken voor persoonlijk gewin of kwade bedoelingen, vooral nadat zij de organisatie of functie hebben verlaten.

Controle 6.5 Uitgelegd

Controle 6.5 heeft tot doel het beschermen van de informatiebeveiligingsbelangen van de organisatie als onderdeel van het proces van het wijzigen of beëindigen van dienstverbanden of contracten. Dit geldt ook voor werknemers, opdrachtnemers en derden die toegang hebben tot uw gevoelige informatie.

Het implementeren van de controle betekent dat u beoordeelt of personen (inclusief degenen die in dienst zijn van een derde partij) die toegang hebben tot uw gevoelige persoonsgegevens uw organisatie verlaten en of het nodig is om stappen te ondernemen om ervoor te zorgen dat zij uw gevoelige persoonsgegevens niet bewaren en er toegang tot blijven krijgen. persoonsgegevens na hun vertrek.

Als u constateert dat iemand weggaat en er een risico bestaat dat gevoelige persoonsgegevens openbaar worden gemaakt, dan moet u redelijke stappen ondernemen voordat hij vertrekt, of zo snel mogelijk nadat hij is vertrokken, zodat dit niet gebeurt.

Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan

Om aan de vereisten voor controle 6.5 te voldoen, moeten de voorwaarden van het dienstverband, contract of overeenkomst van een individu de alle verantwoordelijkheden en plichten op het gebied van informatiebeveiliging die van kracht blijven na het einde van de relatie.

Informatiebeveiligingstaken kunnen ook worden opgenomen in andere contracten of overeenkomsten die verder reiken dan het einde van het dienstverband van een werknemer.

Van iedereen die ontslag neemt of van baan verandert, moeten de verantwoordelijkheden en plichten op het gebied van informatiebeveiliging worden overgedragen aan een nieuwe persoon, en moeten alle toegangsgegevens worden verwijderd en een nieuwe worden aangemaakt.

Meer informatie over hoe dit werkt vindt u in de ISO 27002:2022 standaarddocument.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

Controle 6.5 in de nieuwe ISO 27002:2022 is geen nieuwe controle, maar een aangepaste versie van controle 7.3.1 in ISO 27002:2013.

Hoewel de basisprincipes van deze twee bedieningselementen vergelijkbaar zijn, zijn er kleine variaties. De implementatierichtlijnen in beide versies zijn bijvoorbeeld enigszins verschillend.

Het eerste deel van de implementatierichtlijnen in controle 7.3.1 in ISO 27002: 2013 stelt dat

“De mededeling van de verantwoordelijkheden op het gebied van de beëindiging van de arbeidsovereenkomst moet lopende informatiebeveiligingseisen en wettelijke verantwoordelijkheden omvatten en, indien van toepassing, de verantwoordelijkheden die zijn vastgelegd in een vertrouwelijkheidsovereenkomst en de arbeidsvoorwaarden die gedurende een bepaalde periode na het einde van het dienstverband van de werknemer of opdrachtnemer voortduren. ”

Hetzelfde gedeelte in controle 6.5 van ISO 27002:2022 stelt dat

“Het proces voor het beheren van beëindiging of verandering van dienstverband moet bepalen welke verantwoordelijkheden en plichten op het gebied van informatiebeveiliging geldig moeten blijven na beëindiging of verandering. Dit kan de vertrouwelijkheid van informatie, intellectueel eigendom en andere verkregen kennis omvatten, evenals verantwoordelijkheden die zijn vastgelegd in andere vertrouwelijkheidsovereenkomsten.

Verantwoordelijkheden en plichten die na beëindiging van het dienstverband of contract nog steeds van kracht zijn, moeten worden vastgelegd in de arbeidsvoorwaarden, het contract of de overeenkomst van het individu. Andere contracten of overeenkomsten die voor een bepaalde periode voortduren na het einde van het dienstverband van het individu kunnen ook verantwoordelijkheden op het gebied van informatiebeveiliging bevatten.”

Dat gezegd hebbende, ongeacht hoeveel hun bewoordingen verschillen, hebben beide bedieningselementen een grotendeels vergelijkbare structuur en functie in hun respectieve contexten. De taal die in control 6.5 wordt gebruikt, is vereenvoudigd om deze gebruiksvriendelijker te maken, zodat degenen die de standaard gaan gebruiken zich gemakkelijker met de inhoud ervan kunnen identificeren.

Het is belangrijk om er ook op te wijzen dat de 2022-versie van ISO 27002 ook wordt geleverd met een doelverklaring en een attributentabel voor elke controle om gebruikers te helpen de controles beter te begrijpen en te implementeren. Deze twee secties ontbreken in de editie van 2013.

Wie is verantwoordelijk voor dit proces?

In overeenstemming met de aanbevelingen van controle 6.5 is de afdeling personeelszaken is in de meeste organisaties doorgaans verantwoordelijk voor het totale ontslagproces en werkt samen met de toezichthoudende manager van de persoon die overstapt om toezicht te houden op de informatiebeveiligingselementen van de gerelateerde procedures.

Personeel dat door een externe partij (bijvoorbeeld een leverancier) wordt geleverd, wordt door de externe partij beëindigd conform de voorwaarden van het contract dat tussen de organisatie en de externe partij tot stand is gekomen.

Wat betekenen deze veranderingen voor u?

De ISO 27002:2013-norm is niet significant gewijzigd. De standaard is zojuist bijgewerkt om de bruikbaarheid te vergemakkelijken. Het is voor geen enkele organisatie die momenteel voldoet aan ISO 27002:2013 nodig om aanvullende stappen te ondernemen om de naleving van ISO 27002 te behouden.

Om te voldoen aan de herzieningen van ISO 27002:2022 hoeft de organisatie slechts kleine wijzigingen aan te brengen in de bestaande processen en procedures, vooral als er de intentie bestaat om opnieuw te certificeren.

Als u meer wilt weten over hoe deze wijzigingen in controle 6.5 uw organisatie zullen beïnvloeden, raadpleeg dan onze gids over ISO 27002:2022.

Nieuwe ISO 27002-controles

Hoe ISMS.Online helpt

Bedrijven kunnen ISMS.Online gebruiken om hen te helpen bij hun ISO 27002-compliance-inspanningen door hen een platform te bieden waarmee ze eenvoudig hun beveiligingsbeleid en -procedures kunnen beheren, indien nodig kunnen bijwerken, testen en hun effectiviteit kunnen monitoren.

Met ons cloudgebaseerde platform kunt u dit snel en eenvoudig doen beheer alle aspecten van uw ISMS, inclusief risicobeheer, beleid, plannen, procedures en meer, op één centrale locatie. Het platform is eenvoudig te gebruiken en heeft een intuïtieve interface waardoor u eenvoudig kunt leren hoe u het moet gebruiken.

Met ISMS.Online kunt u:

• Documenteer uw processen met behulp van een intuïtieve webinterface zonder dat u software op uw computer of netwerk hoeft te installeren.
• Automatiseer uw risico-evaluatie proces.
• Toon naleving eenvoudig aan met online rapporten en checklists.
• Houd de voortgang bij terwijl u toewerkt naar certificering.

Als u een bedrijf bent waar u aan moet voldoen ISO 27001 en/of ISO 27002 biedt ISMS.Online een volledig scala aan functies om u te helpen dit belangrijke doel te bereiken.

Neem vandaag nog contact op met boek een demo.