ISO 27002:2022 – Control 6.1 – Detección

Propósito del Control 6.1

El control 6.1 trata de la verificaciones de antecedentes que se exigen a todos los empleados y proveedores seleccionados, antes de su incorporación a la organización.

El Control 6.1 propugnaba una enfoque proporcional a controles de verificación que están vinculados a los requisitos únicos de la organización y abarcan todas las leyes, regulaciones y estándares éticos relevantes que una organización debe cumplir, dondequiera que opere.

Al realizar controles, las organizaciones deben tener en cuenta el tipo de Información con la que cada empleado/proveedor entrará en contacto. a lo largo de su función laboral, y cualquier riesgo asociado.

Tabla de Atributos de Control 6.1

Control 6.1 es un preventivo controlar eso mantiene el riesgo estableciendo un proceso de selección que examine a todo el personal y proveedores de tiempo completo, tiempo parcial y eventuales/temporales, para garantizar que solo el personal capacitado y adecuado pueda acceder a la información.

Propiedad del Control 6.1

Las verificaciones de verificación de empleo generalmente se llevan a cabo antes de que una persona comience a trabajar. Como tal, la propiedad de 6.1 debe recaer en el Gerente de Recursos Humanos de una organización.

Orientación general sobre control 6.1

Las actividades de detección deben incluir los siguientes controles:

1. Referencias, incluidas certificaciones comerciales y personales.
2. Verificación del CV, para garantizar que el candidato no ha omitido ningún dato relevante y sólo ha incluido información exacta y veraz.
3. Confirmación de calificaciones y certificaciones académicas, vocacionales y profesionales.
4. Verificación de identidad, confirmada por una organización externa gubernamental o del sector público (verificaciones de pasaporte y/o permiso de conducir).
5. Verificaciones de crédito y verificaciones de antecedentes penales, para cualquier rol que se considere adecuado para una investigación mejorada.

La verificación de antecedentes a menudo incluye la recopilación, el procesamiento y la transferencia de PII y/o características protegidas (ley del Reino Unido). Como tal, las organizaciones deben garantizar el estricto cumplimiento de la legislación laboral vigente, dondequiera que operen.

Esto suele implicar informar al candidato sobre el proceso de selección (tanto en términos de datos que se procesan y para qué se utiliza), antes de que se lleve a cabo la verificación.

examen en línea. Los procedimientos deben describir claramente el personal responsable. para llevar a cabo la evaluación en nombre de la organización, y la razón subyacente por la cual se realiza la evaluación en primer lugar.

Si se va a realizar una selección de proveedores, es importante incluir este requisito en cualquier acuerdo contractual antes de que se presten los servicios.

Una vez que un empleado/proveedor ha sido examinado y contratado, el La organización debe tomar medidas para garantizar que el candidato tenga la capacidad de desempeñar su función. como se anuncia, y ha demostrado ser una persona confiable, especialmente si su función incluye actividades relacionadas con la seguridad de la información.

Orientación: verificación mejorada

El Control 6.1 brinda a las organizaciones un margen de maniobra considerable sobre las circunstancias que se requieren antes de iniciar controles de investigación mejorados.

Dichos procedimientos deben decidirse puesto por puesto y no debe hacerse distinción entre el personal nuevo o el personal existente que ha sido ascendido a un puesto que implica un mayor grado de responsabilidad.

Los roles que requieren una evaluación mejorada pueden definirse como aquellos que se ocupan del procesamiento de información como una actividad diaria (por ejemplo, Recursos Humanos), o cualquier rol que incluya el manejo o procesamiento de PII, información financiera o cualquier otro tipo de datos confidenciales.

Las organizaciones también deben considerar formas de verificar la idoneidad continua de cualquier personal empleado en una función crítica.

Orientación: verificaciones incompletas

En determinadas circunstancias (contrataciones urgentes, retrasos de terceros, errores en la solicitud, etc.), la selección no siempre se puede completar a tiempo.

Cuando esto ocurra, las organizaciones deben considerar cursos de acción alternativos que minimicen los riesgos asociados con un miembro del personal no evaluado, que incluyen:

1. Incorporación retrasada.
2. Acceso restringido a los sistemas.
3. Retención de bienes y equipos de la sociedad.
4. Terminación del empleo.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-6.1 reemplaza a 27002:2013-7.1.1 (Cribado).

27002:2022-6.1 contiene los mismos puntos de orientación básicos que 27002:2013-7.1.1, al asesorar a las organizaciones sobre qué información debe verificarse antes de que un empleado/proveedor comience su trabajo (referencias, CV, identidad, etc.).

Sobre la base de la orientación básica ofrecida, 27002:2022-6.1 también contiene información adicional sobre cómo deben reaccionar las organizaciones ante verificaciones incompletas, incluida una posible terminación.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

La plataforma ISMS.online proporciona una gama de herramientas poderosas que simplifican la forma en que puede documentar, implementar, mantener y mejorar su sistema de gestión de seguridad de la información (SGSI) y lograr el cumplimiento de la norma ISO 27002.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.