ISO 27701 – Klousule 6.4 – Menslike Hulpbronsekuriteit

ISO 27701 Klousule 6.4: Versterking van menslike hulpbronsekuriteit

Deel en deel van die bevordering van 'n proaktiewe benadering tot privaatheidsbeskerming behels die implementering van robuuste menslikehulpbronsekuriteitskontroles wat die geskiktheid en bevoegdheid van alle personeel beheer wat verwag om met PII te kommunikeer namens die organisasie.

ISO klassifiseer sulke maatreëls in twee kategorieë:

1. Sifting voor indiensneming (verwysings, ID-tjeks, ens.).
2. Die kontraktuele verpligtinge waaraan personeel verwag word om na te kom sodra hulle deel van die organisasie word.

Wat word gedek in ISO 27701 Klousule 6.4

Klousule 6.4 bevat twee hoofsubklousules wat spesifieke leiding bevat gekoppel aan ooreenstemmende inligting binne ISO 27002, al is dit onder die dekmantel van privaatheidbeskerming, eerder as algemene inligtingsekuriteit:

1. ISO 27701 6.4.1.1 – Sifting (Verwysings ISO 27002 Beheer 6.1)
2. ISO 27701 6.4.1.2 – Diensbepalings en -voorwaardes (Verwysings ISO 27002 Beheer 6.2)

Anders as ander dele van ISO 27701, is geen klousule relevant vir enige spesifieke area van GDPR nie, en bevat ook geen bykomende riglyne vir PIMS-verwante aktiwiteite nie.

As gevolg van 'n aantal wetgewende en kontraktuele faktore, bevat ISO 27701 6.4.1.2 (wat hoofsaaklik met dienskontrakte handel) inligting wat kruisverwysing vereis met verskeie ander klousules vervat in ISO 27002. Organisasies moet dus noukeurig na hul kontraktuele bepalings en voorwaardes kyk, en hul HR-bedrywighede daarvolgens aan te pas.

ISO 27701 Klousule 6.4.1.1 – Sifting

Verwysings ISO 27002 Beheer 6.1

Organisasies moet 'n siftingsproses skep om menslike hulpbronsekuriteit te versterk, insluitend alle voltydse en deeltydse personeel, en moet ook uitgebrei word na derdepartykontrakteurs deur die relevante verskaffersooreenkomste.

Organisasies moet verseker dat hulle bedag is op hul verantwoordelikheid as 'n PII-verwerker wanneer hulle inligting oor kandidate en verskaffers insamel, insluitend om aan die regterkant van nasionale en afgewentelde wetgewing te bly wat bepaal hoe kandidate ingelig word oor siftingsaktiwiteite voordat dit uitgevoer word.

Agtergrondkontroles moet ten minste insluit:

• Verwysings (ideaal 'n besigheid en 'n persoonlike verwysing).
• 'n Volledige verifikasie van die kandidaat se CV.
• Verifikasie van akademiese, professionele en beroepsgerigte kwalifikasies en sertifisering.
• IDV (Identity Verification) wat staatsuitgereikte ID-materiaal in ag neem, of 'n toepaslike vlak van verifikasie waar sulke dokumente nie getoon kan word nie (bv. bankstate of plaaslike owerheidkorrespondensie).

Indien die kandidaat in 'n rol in diens geneem gaan word wat kommersieel sensitief is, of die kandidaat met 'n groot mate van vertroue toeken as hulle suksesvol sou wees in hul aansoek, moet organisasies dit ook oorweeg om verbeterde keuringsprosedures uit te voer - soos kredietkontrole en/ of kriminele rekordkontroles – soos toepaslik.

Organisasies moet ook maniere oorweeg om die deurlopende geskiktheid van enige personeel wat in 'n kritieke rol in diens is. Sulke prosedures moet besluit word op a werk-vir-werk basis, en geen onderskeid moet gemaak word tussen nuwe personeel, of bestaande personeel wat bevorder is tot 'n rol wat 'n groter mate van verantwoordelikheid bevat nie.

Diensifting kan nie altyd betyds voltooi word nie. Waar dit gebeur, moet organisasies alternatiewe maniere van aksie oorweeg wat die risiko's wat verband hou met 'n ongekeurde personeellid verminder, insluitend:

• Vertraagde aan boord.
• Beperkte toegang tot stelsels.
• Weerhou maatskappy bates en toerusting.
• Beëindiging van diens.

ISO 27701 Klousule 6.4.1.2 – Diensbepalings en -voorwaardes

Verwysings ISO 27002 Beheer 6.2

Dienskontrakte moet opgestel en onderteken word met organisatoriese inligtingsekuriteit in gedagte, insluitend enige onderwerpspesifieke beleide wat ontwikkel is om te help om privaatheidbeskerming op 'n departementele basis te versterk.

Kontrakte moet 'n mate van privaatheidsbeskermingsmaatreëls hê wat eweredig is aan die rol waaraan hulle gekoppel is, en moet hersien word in die lig van heersende wetgewing, of regulatoriese/kontraktuele verpligtinge.

Privaatheidsbeskermingsrolle en -verantwoordelikhede moet deur die hele werwingsproses wyd aan kandidate versprei word. Dienskontrakte moet die volgende insluit:

1. NDA-klousules wat uitgebrei word na alle personeel wat met vertroulike inligting handel en/of organisatoriese bates beveilig (sien ISO 27002 6.6).
2. Al die organisasie en werknemer se wetlike verpligtinge, veral enige wat handel oor IP of privaatheidsbeskerming sien (sien ISO's 27002 5.32 en 5.34).
3. Alle relevante verantwoordelikhede rakende die klassifikasie en bestuur van inligting, verwerkingsfasiliteite en IKT-dienste (sien ISO's 27002 5.9 en 5.13).
4. Wat die gevolge is vir enige personeel wat met die organisasie se privaatheidsbeskermingsbeleide pronk.
5. Waar relevant, 'n reeks verantwoordelikhede wat oorgedra word vir 'n gepaste tydperk nadat personeel die organisasie verlaat het (bv. NDA's, IP-bepalings).

Saam met deurlopende indiensnemingsverantwoordelikhede, kan personeel ook gevra word om te voldoen aan 'n organisasiewye 'gedragskode', wat die basiese beginsels van 'n organisasie se privaatheidsbeskermingsoperasie en PII-verwante aktiwiteite uiteensit.

Relevante ISO 27002-kontroles

• ISO 27002 5.9
• ISO 27002 5.13
• ISO 27002 5.32
• ISO 27002 5.34
• ISO 27002 6.4
• ISO 27002 6.5
• ISO 27002 6.6

Ondersteunende kontroles vanaf ISO 27002 en GDPR

Hoe ISMS.online help

Ons wolk-gebaseerde platform laat jou toe om toegang tot al jou PIMS-bronne op een plek te kry. Jy kan ons maklik-om-te gebruik platform gebruik om alles wat jy nodig het te dokumenteer om te wys dat jy aan die vereistes van ISO 27701 voldoen.

Ons metode met versekerde resultate (ARM) ontduik die vereistes van ISO 27701 en gee jou selfvertroue namate jy vorder na die bereiking van sertifisering. Ons het 'n interne span inligtingsekuriteitskundiges wat leiding kan gee en vrae kan beantwoord om jou te help op pad na ISO 27701-sertifisering.

Vind meer uit deur bespreek 'n demo.