Phụ lục A 6.5 của ISO 27001:2022 là gì?
ISO 27001:2022 Phụ lục A 6.5 yêu cầu các tổ chức chỉ định các vai trò và trách nhiệm về bảo mật thông tin vẫn có hiệu lực ngay cả khi nhân viên nghỉ việc hoặc được điều động lại. Truyền đạt các nhiệm vụ và trách nhiệm này cho nhân viên và bất kỳ bên thứ ba nào có liên quan.
Giải thích nhiệm vụ và trách nhiệm thông tin
Nhân viên có nghĩa vụ pháp lý phải giữ bí mật mọi thông tin mà người sử dụng lao động giao phó cho họ. Điều cần thiết là nhân viên phải hiểu các yêu cầu để bảo vệ dữ liệu của người sử dụng lao động.
Người sử dụng lao động thường có quyền yêu cầu người lao động của mình bảo vệ dữ liệu bí mật và không khai thác dữ liệu đó để kiếm lợi cá nhân, ví dụ như thông qua giao dịch nội gián hoặc các hoạt động bất hợp pháp khác.
Một số ví dụ về nhiệm vụ và trách nhiệm của An ninh thông tin bao gồm:
- Việc đảm bảo tính bảo mật của thông tin cá nhân là vô cùng quan trọng.
- Việc duy trì nhật ký về cách dữ liệu cá nhân được quản lý, áp dụng và chia sẻ là rất cần thiết .
- Đảm bảo tính chính xác và độ tin cậy của dữ liệu là tối quan trọng. Điều này đòi hỏi phải thu thập từ các nguồn đáng tin cậy, lưu trữ an toàn và xử lý an toàn khi không còn cần thiết.
- Đảm bảo chỉ những cá nhân được ủy quyền mới có quyền truy cập thông tin.
- Sử dụng và tiết lộ dữ liệu cá nhân một cách hợp pháp và công bằng, theo đúng luật hiện hành.
Các tổ chức cần phải nhận thức được nghĩa vụ của mình khi quản lý dữ liệu cá nhân để tránh vi phạm bất kỳ quy định nào về quyền riêng tư, vì hậu quả đối với cả doanh nghiệp và nhân viên có thể rất thảm khốc.
Mục đích của Phụ lục A 6.5 của ISO 27001:2022 là gì?
Phụ lục A 6.5 phải được thực hiện khi nhân viên hoặc nhà thầu rời khỏi tổ chức hoặc khi hợp đồng kết thúc trước thời hạn.
Biện pháp kiểm soát này bảo vệ lợi ích bảo mật thông tin của tổ chức trong trường hợp thay đổi việc làm hoặc chấm dứt hợp đồng.
Phụ lục A này kiểm soát khả năng nhân viên lợi dụng quyền truy cập vào thông tin và quy trình bí mật để trục lợi cá nhân hoặc có ý đồ xấu, đặc biệt là sau khi họ rời khỏi tổ chức hoặc công việc.
Phụ lục A Kiểm soát 6.5 Giải thích
ISO 27001:2022 Phụ lục A 6.5 tìm cách bảo vệ lợi ích bảo mật dữ liệu của tổ chức trong trường hợp thay đổi hoặc chấm dứt việc làm hoặc hợp đồng. Điều này bao gồm nhân viên, nhà thầu và bên thứ ba có quyền truy cập vào dữ liệu bí mật.
Đánh giá xem có bất kỳ cá nhân nào (bao gồm cả người theo hợp đồng) có quyền truy cập vào dữ liệu cá nhân nhạy cảm của bạn đang rời khỏi tổ chức của bạn hay không và thực hiện các biện pháp để đảm bảo họ không giữ lại và tiếp tục truy cập vào dữ liệu cá nhân nhạy cảm của bạn sau khi họ rời đi.
Nếu bạn phát hiện một cá nhân sắp rời đi và có khả năng thông tin cá nhân bí mật có thể bị tiết lộ, thì bạn phải thực hiện các bước thích hợp trước khi họ rời đi hoặc càng nhanh càng tốt sau đó để đảm bảo điều này không xảy ra.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Để đáp ứng các tiêu chí của Phụ lục A 6.5, hợp đồng lao động hoặc thỏa thuận của cá nhân phải nêu rõ mọi trách nhiệm và nhiệm vụ về bảo mật thông tin vẫn còn hiệu lực sau khi kết thúc mối quan hệ.
Trách nhiệm bảo mật thông tin có thể được đưa vào các hợp đồng hoặc thỏa thuận khác có thời hạn dài hơn thời gian làm việc của nhân viên.
Khi rời khỏi vị trí hoặc thay đổi công việc, người đương nhiệm phải đảm bảo trách nhiệm bảo mật của mình được chuyển giao và mọi thông tin đăng nhập đều được xóa và thay thế.
Để biết thêm chi tiết về quy trình này, hãy tham khảo tài liệu tiêu chuẩn ISO 27001:2022.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 6.5 của ISO 27001:2022 là bản điều chỉnh của Phụ lục A 7.3.1 của ISO 27001:2013 chứ không phải là Kiểm soát Phụ lục A mới.
Cơ bản của hai biện pháp kiểm soát này giống nhau, mặc dù có một số khác biệt nhỏ. Ví dụ, hướng dẫn triển khai có đôi chút khác biệt ở cả hai phiên bản.
Phần đầu tiên của Phụ lục A 7.3.1 trong ISO 27001:2013 chỉ đạo rằng các tổ chức phải:
Khi chấm dứt hợp đồng, điều cần thiết là phải truyền đạt các yêu cầu pháp lý và bảo mật thông tin cần thiết, cũng như bất kỳ thỏa thuận bảo mật và điều khoản và điều kiện tuyển dụng nào có thể áp dụng trong một khoảng thời gian nhất định sau khi kết thúc hợp đồng của nhân viên hoặc nhà thầu.
Phần Phụ lục A 6.5 của ISO 27001:2022 cũng quy định rằng:
Quy trình quản lý chấm dứt hoặc thay đổi việc làm phải nêu rõ trách nhiệm và nghĩa vụ bảo mật thông tin nào vẫn có hiệu lực sau khi chấm dứt hoặc thay đổi. Điều này có thể bao gồm việc duy trì tính bảo mật của thông tin, sở hữu trí tuệ và kiến thức khác có được, cũng như bất kỳ trách nhiệm nào khác được quy định trong thỏa thuận bảo mật.
Trách nhiệm và nghĩa vụ vẫn có hiệu lực sau khi chấm dứt việc làm, hợp đồng hoặc thỏa thuận của một cá nhân phải được nêu chi tiết trong các điều khoản và điều kiện của chúng. Ngoài ra, bất kỳ hợp đồng hoặc thỏa thuận nào kéo dài trong một khoảng thời gian xác định sau khi kết thúc việc làm của cá nhân đó có thể bao gồm trách nhiệm bảo mật thông tin.
Mặc dù có sự khác biệt về cách diễn đạt, cả hai Kiểm soát Phụ lục A đều có cấu trúc và mục đích tương tự nhau trong bối cảnh tương ứng của chúng. Để Phụ lục A 6.5 thân thiện với người dùng hơn, ngôn ngữ đã được đơn giản hóa, cho phép người dùng hiểu rõ hơn về nội dung của nó.
Phiên bản ISO 27001 năm 2022 bao gồm bảng tuyên bố mục đích và thuộc tính cho từng biện pháp kiểm soát, giúp người dùng hiểu và triển khai chúng. Phiên bản năm 2013 không có phần này.
