Mục đích của Phụ lục A 6.1 là gì?
Phụ lục A 6.1 của ISO 27001:2022 nêu rõ các cuộc kiểm tra lý lịch bắt buộc đối với nhân viên và nhà cung cấp được lựa chọn trước khi họ gia nhập tổ chức.
Phụ lục A 6.1 nhấn mạnh tầm quan trọng của cách tiếp cận tương xứng đối với các cuộc kiểm tra xác minh liên quan đến các yêu cầu riêng của tổ chức, cũng như tất cả các luật, quy định và tiêu chuẩn đạo đức có liên quan mà tổ chức tuân thủ, bất kể tổ chức hoạt động ở đâu.
Các tổ chức nên cân nhắc loại thông tin mà nhân viên/nhà cung cấp sẽ tiếp xúc trong quá trình làm việc cũng như những rủi ro liên quan.
Quyền sở hữu của Phụ lục A 6.1
Trong ISO 27001:2022 Phụ lục A 6.1, một quy trình sàng lọc đối với nhân viên toàn thời gian, bán thời gian, tạm thời/nhân viên tạm thời và nhà cung cấp được thiết lập để đảm bảo rằng thông tin chỉ có thể được tiếp cận bởi những người phù hợp và đúng đắn. Việc xác minh việc làm thường được tiến hành trước khi một người bắt đầu công việc của họ.
Do đó, Phụ lục A 6.1 phải do người quản lý nhân sự trong tổ chức nắm giữ.
Hướng dẫn chung về Phụ lục A 6.1
Các hoạt động sàng lọc sau đây cần được thực hiện:
- Giấy chứng nhận từ cả người giới thiệu cá nhân và doanh nghiệp.
- Cần kiểm tra CV để đảm bảo ứng viên không bỏ sót bất kỳ thông tin có liên quan nào và thông tin đó là chính xác và trung thực.
- Xác nhận trình độ chuyên môn, học vấn và nghề nghiệp.
- Xác minh danh tính thông qua việc sử dụng hộ chiếu hoặc giấy phép lái xe do cơ quan chính phủ hoặc tổ chức khu vực công cấp.
- Bất kỳ vai trò nào được coi là phù hợp để thẩm tra kỹ lưỡng sẽ phải trải qua quá trình kiểm tra tín dụng và lý lịch tư pháp.
Việc kiểm tra lý lịch thường nhằm thu thập, xử lý và chuyển giao thông tin nhận dạng cá nhân và các đặc điểm được bảo vệ ( luật của Vương quốc Anh ). Do đó, bất kể tổ chức hoạt động ở đâu, tổ chức đó phải tuân thủ nghiêm ngặt mọi luật lao động hiện hành.
Trong hầu hết các trường hợp, điều này bao gồm việc thông báo cho ứng viên về quy trình sàng lọc (bao gồm dữ liệu nào đang được xử lý và cách sử dụng dữ liệu đó) trước khi quá trình xác minh bắt đầu.
Điều quan trọng là các quy trình sàng lọc phải nêu rõ nhân sự chịu trách nhiệm thực hiện sàng lọc thay mặt cho tổ chức và lý do tại sao việc sàng lọc được tiến hành ngay từ đầu.
Yêu cầu sàng lọc nhà cung cấp phải được đưa vào tất cả các thỏa thuận hợp đồng trước khi cung cấp dịch vụ.
Một tổ chức phải đảm bảo rằng sau khi nhân viên/nhà cung cấp được thẩm định và tuyển dụng, họ có đủ năng lực để thực hiện nhiệm vụ như đã quảng cáo, cũng như chứng minh được sự đáng tin cậy, đặc biệt nếu vai trò của họ bao gồm bất kỳ nhiệm vụ nào liên quan đến bảo mật thông tin.
Phụ lục A 6.1 về Kiểm tra nâng cao
Trong Phụ lục A 6.1, các tổ chức được trao quyền linh hoạt đáng kể trong việc xác định các trường hợp để khởi xướng các biện pháp kiểm tra nâng cao.
Không nên phân biệt giữa nhân viên mới hoặc nhân viên hiện tại đã được thăng chức lên các vai trò có trách nhiệm lớn hơn. Các thủ tục như vậy nên được xác định theo từng công việc. Cần sàng lọc nâng cao đối với các vị trí xử lý thông tin hàng ngày (ví dụ: HR) hoặc xử lý hoặc xử lý thông tin cá nhân , thông tin tài chính hoặc bất kỳ loại thông tin nhạy cảm nào khác.
Bất kỳ tổ chức nào tuyển dụng nhân sự vào các vị trí quan trọng cũng nên cân nhắc các cách để xác minh sự phù hợp liên tục của họ.
Phụ lục A 6.1 Xác minh không đầy đủ
Đôi khi việc sàng lọc không thể hoàn tất kịp thời (tuyển dụng khẩn cấp, sự chậm trễ của bên thứ ba, v.v.).
Một tổ chức nên cân nhắc các phương án hành động thay thế khi tuyển dụng một nhân viên chưa được sàng lọc, bao gồm:
- Quá trình gia nhập bị trì hoãn.
- Quyền truy cập hệ thống bị hạn chế.
- Thiết bị và tài sản của công ty bị giữ lại.
- Việc chấm dứt việc làm.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Phụ lục A 6.1 của ISO 27001:2022 bao gồm các điểm hướng dẫn thiết yếu giống như Phụ lục A 7.1.1 của ISO 27001:2013 liên quan đến thông tin nào phải được xác minh trước khi tuyển dụng nhân viên/nhà cung cấp (thông tin tham khảo, CV, danh tính, v.v.).
Ngoài ra, Phụ lục A 6.1 của ISO 27001:2022 cung cấp hướng dẫn bổ sung về cách các tổ chức nên xử lý các xác minh chưa đầy đủ, bao gồm cả khả năng chấm dứt.
