El control 6.1 trata de la verificaciones de antecedentes que se exigen a todos los empleados y proveedores seleccionados, antes de su incorporación a la organización.
El Control 6.1 propugnaba una enfoque proporcional a controles de verificación que están vinculados a los requisitos únicos de la organización y abarcan todas las leyes, regulaciones y estándares éticos relevantes que una organización debe cumplir, dondequiera que opere.
Al realizar controles, las organizaciones deben tener en cuenta el tipo de Información con la que cada empleado/proveedor entrará en contacto. a lo largo de su función laboral, y cualquier riesgo asociado.
Control 6.1 es un preventivo controlar eso mantiene el riesgo estableciendo un proceso de selección que examine a todo el personal y proveedores de tiempo completo, tiempo parcial y eventuales/temporales, para garantizar que solo el personal capacitado y adecuado pueda acceder a la información.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad #Integridad #Disponibilidad | #Proteger | #Seguridad de Recursos Humanos | #Gobernanza y Ecosistema |
Las verificaciones de verificación de empleo generalmente se llevan a cabo antes de que una persona comience a trabajar. Como tal, la propiedad de 6.1 debe recaer en el Gerente de Recursos Humanos de una organización.
Las actividades de detección deben incluir los siguientes controles:
La verificación de antecedentes a menudo incluye la recopilación, el procesamiento y la transferencia de PII y/o características protegidas (ley del Reino Unido). Como tal, las organizaciones deben garantizar el estricto cumplimiento de la legislación laboral vigente, dondequiera que operen.
Esto suele implicar informar al candidato sobre el proceso de selección (tanto en términos de datos que se procesan y para qué se utiliza), antes de que se lleve a cabo la verificación.
examen en línea. Los procedimientos deben describir claramente el personal responsable. para llevar a cabo la evaluación en nombre de la organización, y la razón subyacente por la cual se realiza la evaluación en primer lugar.
Si se va a realizar una selección de proveedores, es importante incluir este requisito en cualquier acuerdo contractual antes de que se presten los servicios.
Una vez que un empleado/proveedor ha sido examinado y contratado, el La organización debe tomar medidas para garantizar que el candidato tenga la capacidad de desempeñar su función. como se anuncia, y ha demostrado ser una persona confiable, especialmente si su función incluye actividades relacionadas con la seguridad de la información.
El Control 6.1 brinda a las organizaciones un margen de maniobra considerable sobre las circunstancias que se requieren antes de iniciar controles de investigación mejorados.
Dichos procedimientos deben decidirse puesto por puesto y no debe hacerse distinción entre el personal nuevo o el personal existente que ha sido ascendido a un puesto que implica un mayor grado de responsabilidad.
Los roles que requieren una evaluación mejorada pueden definirse como aquellos que se ocupan del procesamiento de información como una actividad diaria (por ejemplo, Recursos Humanos), o cualquier rol que incluya el manejo o procesamiento de PII, información financiera o cualquier otro tipo de datos confidenciales.
Las organizaciones también deben considerar formas de verificar la idoneidad continua de cualquier personal empleado en una función crítica.
El único cumplimiento
solución que necesitas
Reserva tu demostración
En determinadas circunstancias (contrataciones urgentes, retrasos de terceros, errores en la solicitud, etc.), la selección no siempre se puede completar a tiempo.
Cuando esto ocurra, las organizaciones deben considerar cursos de acción alternativos que minimicen los riesgos asociados con un miembro del personal no evaluado, que incluyen:
27002:2022-6.1 reemplaza a 27002:2013-7.1.1 (Cribado).
27002:2022-6.1 contiene los mismos puntos de orientación básicos que 27002:2013-7.1.1, al asesorar a las organizaciones sobre qué información debe verificarse antes de que un empleado/proveedor comience su trabajo (referencias, CV, identidad, etc.).
Sobre la base de la orientación básica ofrecida, 27002:2022-6.1 también contiene información adicional sobre cómo deben reaccionar las organizaciones ante verificaciones incompletas, incluida una posible terminación.
La plataforma ISMS.online proporciona una gama de herramientas poderosas que simplifican la forma en que puede documentar, implementar, mantener y mejorar su sistema de gestión de seguridad de la información (SGSI) y lograr el cumplimiento de la norma ISO 27002.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
Le daremos una ventaja inicial del 81%
desde el momento en que inicias sesión
Reserva tu demostración
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
