Propósito del Control 6.1
El control 6.1 trata de la verificaciones de antecedentes que se exigen a todos los empleados y proveedores seleccionados, antes de su incorporación a la organización.
El Control 6.1 propugnaba una enfoque proporcional a controles de verificación que están vinculados a los requisitos únicos de la organización y abarcan todas las leyes, regulaciones y estándares éticos relevantes que una organización debe cumplir, dondequiera que opere.
Al realizar controles, las organizaciones deben tener en cuenta el tipo de Información con la que cada empleado/proveedor entrará en contacto. a lo largo de su función laboral, y cualquier riesgo asociado.
Tabla de Atributos de Control 6.1
Control 6.1 es un preventivo controlar eso mantiene el riesgo estableciendo un proceso de selección que examine a todo el personal y proveedores de tiempo completo, tiempo parcial y eventuales/temporales, para garantizar que solo el personal capacitado y adecuado pueda acceder a la información.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad de Recursos Humanos | #Gobernanza y Ecosistema |
| #Integridad | ||||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 6.1
Las verificaciones de verificación de empleo generalmente se llevan a cabo antes de que una persona comience a trabajar. Como tal, la propiedad de 6.1 debe recaer en el Gerente de Recursos Humanos de una organización.
Orientación general sobre control 6.1
Las actividades de detección deben incluir los siguientes controles:
- Referencias, incluidas certificaciones comerciales y personales.
- Verificación del CV, para garantizar que el candidato no ha omitido ningún dato relevante y sólo ha incluido información exacta y veraz.
- Confirmación de calificaciones y certificaciones académicas, vocacionales y profesionales.
- Verificación de identidad, confirmada por una organización externa gubernamental o del sector público (verificaciones de pasaporte y/o permiso de conducir).
- Verificaciones de crédito y verificaciones de antecedentes penales, para cualquier rol que se considere adecuado para una investigación mejorada.
La verificación de antecedentes a menudo incluye la recopilación, el procesamiento y la transferencia de PII y/o características protegidas (ley del Reino Unido). Como tal, las organizaciones deben garantizar el estricto cumplimiento de la legislación laboral vigente, dondequiera que operen.
Esto suele implicar informar al candidato sobre el proceso de selección (tanto en términos de datos que se procesan y para qué se utiliza), antes de que se lleve a cabo la verificación.
examen en línea. Los procedimientos deben describir claramente el personal responsable. para llevar a cabo la evaluación en nombre de la organización, y la razón subyacente por la cual se realiza la evaluación en primer lugar.
Si se va a realizar una selección de proveedores, es importante incluir este requisito en cualquier acuerdo contractual antes de que se presten los servicios.
Una vez que un empleado/proveedor ha sido examinado y contratado, el La organización debe tomar medidas para garantizar que el candidato tenga la capacidad de desempeñar su función. como se anuncia, y ha demostrado ser una persona confiable, especialmente si su función incluye actividades relacionadas con la seguridad de la información.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación: verificación mejorada
El Control 6.1 brinda a las organizaciones un margen de maniobra considerable sobre las circunstancias que se requieren antes de iniciar controles de investigación mejorados.
Dichos procedimientos deben decidirse puesto por puesto y no debe hacerse distinción entre el personal nuevo o el personal existente que ha sido ascendido a un puesto que implica un mayor grado de responsabilidad.
Los roles que requieren una evaluación mejorada pueden definirse como aquellos que se ocupan del procesamiento de información como una actividad diaria (por ejemplo, Recursos Humanos), o cualquier rol que incluya el manejo o procesamiento de PII, información financiera o cualquier otro tipo de datos confidenciales.
Las organizaciones también deben considerar formas de verificar la idoneidad continua de cualquier personal empleado en una función crítica.
Orientación: verificaciones incompletas
En determinadas circunstancias (contrataciones urgentes, retrasos de terceros, errores en la solicitud, etc.), la selección no siempre se puede completar a tiempo.
Cuando esto ocurra, las organizaciones deben considerar cursos de acción alternativos que minimicen los riesgos asociados con un miembro del personal no evaluado, que incluyen:
- Incorporación retrasada.
- Acceso restringido a los sistemas.
- Retención de bienes y equipos de la sociedad.
- Terminación del empleo.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022-6.1 reemplaza a 27002:2013-7.1.1 (Cribado).
27002:2022-6.1 contiene los mismos puntos de orientación básicos que 27002:2013-7.1.1, al asesorar a las organizaciones sobre qué información debe verificarse antes de que un empleado/proveedor comience su trabajo (referencias, CV, identidad, etc.).
Sobre la base de la orientación básica ofrecida, 27002:2022-6.1 también contiene información adicional sobre cómo deben reaccionar las organizaciones ante verificaciones incompletas, incluida una posible terminación.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
La plataforma ISMS.online proporciona una gama de herramientas poderosas que simplifican la forma en que puede documentar, implementar, mantener y mejorar su sistema de gestión de seguridad de la información (SGSI) y lograr el cumplimiento de la norma ISO 27002.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
