ISO 27001:2022 Annexe A Contrôle 6.1

• See ISO 27002:2022 Contrôle 6.1 pour plus d'information.
• See ISO 27001:2013 Annexe A 7.1.1 pour plus d'information.

Quel est l’objectif de l’annexe A 6.1 ?

Annexe A 6.1 du ISO 27001: 2022 décrit les vérifications des antécédents requises pour les employés et les fournisseurs sélectionnés avant qu'ils rejoignent l'organisation.

L'Annexe A 6.1 souligne l'importance d'une approche proportionnée des contrôles de vérification liés aux exigences uniques de l'organisation, ainsi qu'à toutes les lois, réglementations et normes éthiques pertinentes auxquelles l'organisation adhère, quel que soit l'endroit où elle opère.

Les organisations doivent prendre en compte le type d’informations avec lesquelles les employés/fournisseurs entreront en contact dans le cadre de leurs fonctions, ainsi que les risques associés.

Propriété de l'annexe A 6.1

Dans la norme ISO 27001 : 2022, annexe A 6.1, un processus de sélection pour le personnel et les fournisseurs à temps plein, à temps partiel, occasionnels/temporaires est établi pour garantir que les informations ne sont accessibles qu'aux personnes compétentes et compétentes. La vérification de l'emploi est généralement effectuée avant qu'une personne ne commence son emploi.

L'Annexe A 6.1 devrait donc être propriété du responsable RH au sein de l’organisation.

Orientations générales sur l'Annexe A 6.1

Les contrôles suivants doivent être inclus dans les activités de contrôle :

1. Attestations de références professionnelles et personnelles.
2. Le CV doit être vérifié pour garantir que le candidat n'a omis aucune information pertinente et que les informations sont exactes et véridiques.
3. La confirmation des qualifications professionnelles, académiques et professionnelles.
4. Vérification de l'identité grâce à l'utilisation d'un passeport ou d'un permis de conduire délivré par un organisme gouvernemental ou un organisme du secteur public.
5. Tout rôle jugé approprié pour une vérification approfondie fera l'objet de vérifications de crédit et de casier judiciaire.

Il est courant que la vérification des antécédents collecte, traite et transfère des informations personnelles identifiables et des caractéristiques protégées (Loi britannique). Par conséquent, partout où une organisation opère, elle doit adhérer strictement à la législation du travail en vigueur.

Dans la plupart des cas, cela implique d'informer le candidat du processus de sélection (y compris quelles données sont traitées et comment elles seront utilisées) avant le début du processus de vérification.

Il est essentiel que les procédures de contrôle indiquent clairement le personnel responsable de l'exécution du contrôle au nom de l'organisation et la raison pour laquelle le contrôle est effectué en premier lieu.

L'exigence de sélection des fournisseurs devrait être incluse dans tous les accords contractuels avant que les services ne soient fournis.

Une organisation doit s'assurer qu'une fois qu'un employé/fournisseur a été sélectionné et embauché, il a la capacité d'accomplir ses tâches comme annoncé et s'est révélé digne de confiance, en particulier si son rôle comprend des tâches liées à la sécurité de l'information.