ISO 27001:2022 Anexo A 6.1 – Detección

• See Norma ISO 27002:2022 6.1 para obtener más información.
• See ISO 27001:2013 Anexo A 7.1.1 para obtener más información.

¿Cuál es el propósito del Anexo A 6.1?

Anexo A 6.1 del ISO 27001:2022 describe las verificaciones de antecedentes requeridas para los empleados y proveedores seleccionados antes de unirse a la organización.

El Anexo A 6.1 enfatiza la importancia de un enfoque proporcionado para los controles de verificación vinculados a los requisitos únicos de la organización, así como a todas las leyes, regulaciones y estándares éticos relevantes a los que se adhiere la organización, sin importar dónde operen.

Las organizaciones deben considerar el tipo de información con la que los empleados/proveedores entrarán en contacto como parte de sus funciones laborales, así como los riesgos asociados.

Propiedad del Anexo A 6.1

En el Anexo A 27001 de ISO 2022:6.1, se establece un proceso de selección para el personal y los proveedores a tiempo completo, a tiempo parcial, eventuales/temporales para garantizar que la información solo sea accesible para las personas adecuadas y adecuadas. La verificación del empleo generalmente se realiza antes de que una persona comience a trabajar.

Por lo tanto, el anexo A 6.1 debería propiedad del gerente de recursos humanos dentro de la organización.

Orientación general sobre el Anexo A 6.1

Las siguientes comprobaciones deberían incluirse en las actividades de detección:

1. Atestiguaciones de referencias tanto comerciales como personales.
2. Se debe verificar el CV para garantizar que el candidato no haya omitido ningún dato relevante y que la información sea exacta y veraz.
3. La confirmación de las cualificaciones profesionales, académicas y vocacionales.
4. Verificación de identidad mediante el uso de un pasaporte o permiso de conducir emitido por una agencia gubernamental o una organización del sector público.
5. Cualquier puesto que se considere adecuado para una investigación mejorada se someterá a verificaciones de crédito y antecedentes penales.

Es una práctica común que las verificaciones de antecedentes recopilen, procesen y transfieran información de identificación personal y características protegidas (ley del Reino Unido). Por lo tanto, dondequiera que opere una organización, debe cumplir estrictamente con la legislación laboral vigente.

En la mayoría de los casos, esto implica informar al candidato sobre el proceso de selección (incluidos qué datos se procesan y cómo se utilizarán) antes de que comience el proceso de verificación.

Es esencial que los procedimientos de evaluación describan claramente el personal responsable de realizar la evaluación en nombre de la organización y por qué se realiza la evaluación en primer lugar.

El requisito de seleccionar a los proveedores debe incluirse en todos los acuerdos contractuales antes de que se proporcionen los servicios.

Una organización debe garantizar que una vez que un empleado/proveedor haya sido examinado y contratado, tenga la capacidad de realizar sus tareas según lo anunciado, además de haber demostrado ser digno de confianza, especialmente si su función incluye tareas relacionadas con la seguridad de la información.

Verificación mejorada Anexo A 6.1

En el Anexo A 6.1, las organizaciones tienen una flexibilidad considerable para determinar las circunstancias para iniciar controles de investigación mejorados.

No se debe hacer distinción entre empleados nuevos o empleados existentes que han sido promovidos a roles de mayor responsabilidad. Estos procedimientos deberían determinarse puesto por puesto. Se requiere una evaluación mejorada para puestos que se ocupan del procesamiento de información a diario (por ejemplo, recursos humanos) o que manejan o procesan Información Personal, información financiera o cualquier otro tipo de información sensible.

Cualquier organización que emplee personal en roles críticos también debe considerar formas de verificar su idoneidad continua.

Verificaciones Incompletas Anexo A 6.1

En ocasiones, la selección no se puede completar a tiempo (contrataciones urgentes, retrasos de terceros, etc.).

Una organización debe considerar cursos de acción alternativos cuando se contrata a un miembro del personal no seleccionado, que incluyen:

• Un proceso de incorporación retrasado.
• El acceso al sistema está restringido.
• Se retienen los equipos y activos de la empresa.
• La terminación del empleo.

¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 6.1 contiene los mismos puntos de orientación esenciales según 27001:2013 Anexo A 7.1.1 respecto a qué información debe ser verificada antes de contratar a un empleado/proveedor (referencias, CV, identidades, etc.).

Además, el Anexo A 27001 de ISO 2022:6.1 proporciona orientación adicional sobre cómo las organizaciones deben lidiar con verificaciones incompletas, incluida la posible terminación.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada ISO 27001:2022 individual. anexo A Control:

Cómo ayuda ISMS.online

Puede documentar, implementar, mantener y mejorar su sistema de gestión de seguridad de la información (SGSI) y lograr el cumplimiento de la norma ISO 27001 utilizando la plataforma ISMS.online.

Lleno de características exclusivas.

Ponte en contacto hoy y reserve una breve demostración de 30 minutos.