6.1 Weryfikacja kandydatów
W skrócie: przed zatrudnieniem — a dla wrażliwych ról także później — organizacja sprawdza kandydatów w zakresie proporcjonalnym do ryzyka i dozwolonym przez prawo.
Cel: zapewnienie, że personel jest odpowiedni i kwalifikuje się do ról, do których jest rozważany, i pozostaje taki przez cały okres zatrudnienia.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Human_resource_security (bezpieczeństwo zasobów ludzkich) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Weryfikacja dotyczy pracowników, a także kontraktorów i personelu dostawców (wtedy wymagania przenosi się do umowy z dostawcą).
- Zakres weryfikacji zależy od wymagań biznesowych, klasyfikacji informacji, do których osoba będzie miała dostęp, i zidentyfikowanego ryzyka. Musi być zgodny z prawem i etyką.
- Norma wymienia przykładowe elementy: referencje, sprawdzenie CV, potwierdzenie wykształcenia i kwalifikacji zawodowych, niezależną weryfikację tożsamości, a gdy to uzasadnione — bardziej szczegółowe sprawdzenia (np. historia kredytowa, niekaralność).
- Dla ról związanych z bezpieczeństwem informacji organizacja sprawdza, czy kandydat ma potrzebne kompetencje i czy można mu zaufać, zwłaszcza gdy rola jest krytyczna.
- Gdy weryfikacji nie da się zakończyć przed rozpoczęciem pracy, stosuje się zabezpieczenia na okres przejściowy: opóźnienie wydania sprzętu, ograniczony dostęp, a przy negatywnym wyniku — zakończenie współpracy.
- Weryfikację powtarza się okresowo, aby potwierdzić, że osoba nadal jest odpowiednia do roli — zależnie od jej krytyczności.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- W Polsce zaświadczenie o niekaralności można zwykle żądać tylko wtedy, gdy pozwala na to konkretny przepis — Kodeks pracy ogranicza dane, których pracodawca może żądać od kandydata — zakres weryfikacji ustala się z prawnikiem i działem HR.
- Dla stanowisk z dostępem do informacji niejawnych postępowanie sprawdzające prowadzi się według ustawy o ochronie informacji niejawnych.
- Lista kontrolna weryfikacji dla każdej klasy stanowisk, przechowywana zgodnie z zasadą minimalizacji danych.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.6.1 — wykaz zabezpieczeń dotyczących ludzi.
- Pokrewne zabezpieczenia: 6.2 Warunki zatrudnienia, 6.6 Umowy o zachowaniu poufności, 5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami.
- ISO/IEC 27002:2013: 7.1.1.