Kiểm soát 6.5 là gì?
Kiểm soát 6.5 trong ISO 27002:2022 đề cập đến nhu cầu của các tổ chức trong việc xác định các nhiệm vụ và trách nhiệm về bảo mật thông tin vẫn có hiệu lực trong trường hợp nhân viên nghỉ việc hoặc chuyển đến một bộ phận mới.
Những nhiệm vụ và trách nhiệm này phải được truyền đạt cho nhân viên cũng như bất kỳ bên liên quan nào khác.
Giải thích nhiệm vụ và trách nhiệm thông tin
Nhiệm vụ và trách nhiệm về thông tin là nghĩa vụ mà nhân viên phải có đối với người sử dụng lao động của mình khi xử lý thông tin bí mật. Nhiệm vụ giữ bí mật thông tin là nghĩa vụ pháp lý ở hầu hết các tiểu bang, vì vậy điều quan trọng là nhân viên phải hiểu những gì họ phải làm khi bảo vệ thông tin của người sử dụng lao động.
Trong hầu hết các trường hợp, người sử dụng lao động có quyền yêu cầu nhân viên của mình không chỉ bảo vệ thông tin bí mật mà còn không sử dụng thông tin đó để trục lợi cá nhân như thông qua giao dịch nội gián hoặc các hoạt động bất hợp pháp khác.
Ví dụ về nhiệm vụ và trách nhiệm bảo mật thông tin bao gồm:
- Bảo vệ tính bảo mật của thông tin cá nhân.
- Lưu giữ hồ sơ về cách xử lý, sử dụng và tiết lộ thông tin cá nhân.
- Để đảm bảo thông tin chính xác và đáng tin cậy. Điều này bao gồm đảm bảo thông tin được thu thập từ nguồn đáng tin cậy, được lưu trữ an toàn và được xóa an toàn khi không còn cần thiết.
- Để đảm bảo chỉ những người được ủy quyền mới có thể truy cập thông tin.
- Sử dụng và tiết lộ dữ liệu cá nhân một cách công bằng và hợp pháp , theo đúng luật pháp có liên quan.
Với tư cách là một tổ chức, điều quan trọng là phải hiểu rõ trách nhiệm của mình khi xử lý thông tin cá nhân vì làm như vậy sẽ giúp bạn tránh vi phạm luật bảo mật, có thể gây ra hậu quả nghiêm trọng cho cả doanh nghiệp và nhân viên của bạn.
Bảng Thuộc tính
Các điều khiển được phân loại bằng các thuộc tính. Sử dụng các thuộc tính này, bạn có thể nhanh chóng so sánh lựa chọn điều khiển của mình với các thuật ngữ và thông số kỹ thuật thường dùng trong ngành.
Các thuộc tính để kiểm soát 6.5 là:
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #An ninh nguồn nhân lực #Quản lý tài sản | #Quản trị và Hệ sinh thái |
Mục đích của Control 6.5 là gì?
Biện pháp kiểm soát 6.5 là biện pháp kiểm soát cần được thực hiện khi nhân viên hoặc nhà thầu rời khỏi tổ chức hoặc hợp đồng bị chấm dứt trước khi hết hạn.
Mục đích của biện pháp kiểm soát này là bảo vệ lợi ích bảo mật thông tin của tổ chức như một phần của quá trình thay đổi hoặc chấm dứt việc làm hoặc hợp đồng.
Biện pháp kiểm soát này cũng có thể bảo vệ chống lại nguy cơ nhân viên có quyền truy cập vào thông tin và quy trình nhạy cảm , lợi dụng chức vụ để trục lợi cá nhân hoặc có ý đồ xấu, đặc biệt là sau khi họ rời khỏi tổ chức hoặc rời khỏi vị trí công việc.
Giải thích về Kiểm soát 6.5
Kiểm soát 6.5 nhằm mục đích bảo vệ lợi ích bảo mật thông tin của tổ chức như một phần của quá trình thay đổi hoặc chấm dứt việc làm hoặc hợp đồng. Điều này bao gồm nhân viên, nhà thầu và bên thứ ba có quyền truy cập vào thông tin nhạy cảm của bạn.
Việc thực hiện kiểm soát có nghĩa là đánh giá xem bất kỳ cá nhân nào (bao gồm cả những người được bên thứ ba tuyển dụng) có quyền truy cập vào dữ liệu cá nhân nhạy cảm của bạn có rời khỏi tổ chức của bạn hay không và liệu có cần thực hiện các bước để đảm bảo rằng họ không giữ lại và tiếp tục truy cập vào dữ liệu cá nhân nhạy cảm của bạn sau khi họ rời đi hay không.
Nếu bạn thấy ai đó sắp nghỉ việc và có nguy cơ dữ liệu cá nhân nhạy cảm có thể bị tiết lộ, thì bạn phải thực hiện các bước hợp lý trước khi họ nghỉ việc hoặc càng sớm càng tốt sau khi họ nghỉ việc để điều này không xảy ra.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Để đáp ứng các yêu cầu kiểm soát 6.5, các điều khoản và điều kiện trong hợp đồng, thỏa thuận hoặc việc làm của cá nhân phải nêu rõ mọi trách nhiệm và nhiệm vụ về bảo mật thông tin vẫn có hiệu lực sau khi mối quan hệ kết thúc.
Nhiệm vụ bảo mật thông tin cũng có thể được đưa vào các hợp đồng hoặc thỏa thuận khác kéo dài sau khi nhân viên kết thúc thời hạn làm việc.
Bất kỳ ai nghỉ việc hoặc thay đổi công việc đều phải chuyển giao trách nhiệm và nhiệm vụ về bảo mật thông tin cho người mới, đồng thời xóa mọi thông tin đăng nhập và tạo thông tin mới.
Bạn có thể tìm hiểu thêm thông tin về cách thức hoạt động này trong tài liệu tiêu chuẩn ISO 27002:2022 .
Những thay đổi và khác biệt so với ISO 27002:2013
Tiêu chuẩn 6.5 trong tiêu chuẩn ISO 27002:2022 mới không phải là tiêu chuẩn mới mà là phiên bản sửa đổi của tiêu chuẩn 7.3.1 trong tiêu chuẩn ISO 27002:2013.
Mặc dù cơ bản của hai điều khiển này tương tự nhau, nhưng vẫn có một số khác biệt nhỏ. Ví dụ, hướng dẫn triển khai trong cả hai phiên bản đều hơi khác nhau.
Phần đầu tiên của hướng dẫn thực hiện trong kiểm soát 7.3.1 trong ISO 27002: 2013 nêu rằng
“Việc truyền đạt trách nhiệm chấm dứt hợp đồng phải bao gồm các yêu cầu bảo mật thông tin đang diễn ra và trách nhiệm pháp lý, và khi thích hợp, các trách nhiệm được nêu trong bất kỳ thỏa thuận bảo mật nào và các điều khoản và điều kiện tuyển dụng tiếp tục trong một khoảng thời gian xác định sau khi kết thúc việc làm của nhân viên hoặc nhà thầu.”
Phần tương tự trong điều khiển 6.5 của ISO 27002:2022 nêu rằng
“Quy trình quản lý chấm dứt hoặc thay đổi việc làm phải xác định trách nhiệm và nhiệm vụ bảo mật thông tin nào vẫn có hiệu lực sau khi chấm dứt hoặc thay đổi. Điều này có thể bao gồm tính bảo mật của thông tin, sở hữu trí tuệ và kiến thức khác thu được, cũng như các trách nhiệm có trong bất kỳ thỏa thuận bảo mật nào khác.
Trách nhiệm và nhiệm vụ vẫn có hiệu lực sau khi chấm dứt việc làm hoặc hợp đồng phải được nêu trong các điều khoản và điều kiện việc làm, hợp đồng hoặc thỏa thuận của cá nhân. Các hợp đồng hoặc thỏa thuận khác tiếp tục trong một khoảng thời gian xác định sau khi kết thúc việc làm của cá nhân cũng có thể bao gồm các trách nhiệm bảo mật thông tin.”
Nói như vậy, bất kể cách diễn đạt của chúng khác nhau đến mức nào, cả hai điều khiển đều có cấu trúc và chức năng tương tự nhau trong bối cảnh tương ứng của chúng. Ngôn ngữ được sử dụng trong điều khiển 6.5 đã được đơn giản hóa để thân thiện hơn với người dùng, để những người sẽ sử dụng tiêu chuẩn có thể dễ dàng liên hệ với nội dung của nó hơn.
Điều quan trọng cần lưu ý là phiên bản ISO 27002 năm 2022 cũng đi kèm với bảng tuyên bố mục đích và thuộc tính cho từng biện pháp kiểm soát để giúp người dùng hiểu rõ hơn và triển khai các biện pháp kiểm soát. Hai phần này không có trong phiên bản năm 2013.
Ai là người chịu trách nhiệm cho quá trình này?
Theo khuyến nghị của biện pháp kiểm soát 6.5, bộ phận nhân sự thường chịu trách nhiệm về toàn bộ quá trình chấm dứt hợp đồng tại hầu hết các tổ chức và hợp tác với người quản lý giám sát của cá nhân đang chuyển tiếp để giám sát các yếu tố bảo mật thông tin của các quy trình liên quan.
Nhân sự do bên ngoài cung cấp (ví dụ: nhà cung cấp) sẽ bị bên ngoài chấm dứt hợp đồng theo các điều khoản và điều kiện của hợp đồng đã được thiết lập giữa tổ chức và bên ngoài.
Những thay đổi này có ý nghĩa gì đối với bạn?
Tiêu chuẩn ISO 27002:2013 không có thay đổi đáng kể. Tiêu chuẩn chỉ được cập nhật để tạo điều kiện thuận lợi cho việc sử dụng. Không cần thiết phải thực hiện bất kỳ bước bổ sung nào đối với bất kỳ tổ chức nào hiện đang tuân thủ ISO 27002:2013 để duy trì việc tuân thủ ISO 27002.
Để tuân thủ các sửa đổi trong ISO 27002:2022, tổ chức chỉ cần thực hiện những sửa đổi nhỏ đối với các quy trình và thủ tục hiện có, đặc biệt nếu có ý định chứng nhận lại.
Nếu bạn muốn tìm hiểu thêm về cách những thay đổi trong tiêu chuẩn kiểm soát 6.5 này sẽ ảnh hưởng đến tổ chức của bạn, vui lòng xem hướng dẫn của chúng tôi về ISO 27002:2022.
