ISO 27001 人員控制：從招募到離職實施關鍵資訊安全實踐

A.6.1 篩檢

本小節的要求旨在確保您的候選人（員工和承包商）了解如果他們獲得該職位，他們的職責是什麼，並且適合他們正在考慮的職位。

為了實現這一目標，你需要做好充分的計劃，並明確各項職責。這可以透過一份完整的職位描述來實現，職位描述除了列明職責外，還應概述所需的技能和經驗。你可以將職位描述作為篩選候選人的工具，確保他們具備勝任該職位所需的技能。
面試時也會詳細討論這些內容，讓您清楚了解職責。您可以透過與推薦人面談來獨立核實面試中所說的內容。

根據您所在的行業，確保完成監管機構要求的所有檢查也至關重要。這些檢查可能包括無犯罪記錄證明、執照檢查以及針對國際員工的簽證檢查。

A.6.2 僱用條款與條件

您的個人僱傭協議 (IEA) 和承包商協議也需要妥善處理。一個好的開始是請您的律師或其他相關人員審核您的僱傭合約和所有承包商協議，以確保其中包含有關資訊安全的具體細節。

這些內容應包括公司資料處理方面的規則和預期，其中涵蓋個人識別資訊 (PII)、客戶數據，以及至關重要的公司智慧財產權。此外，也應列明因違反這些規則和預期而可能採取的措施。

A.6.3 資訊安全意識、教育與培訓

本節的目標是確保員工和承包商在工作期間了解並履行其資訊安全責任。這可以透過多種方式實現。

首先，要從完善的新進員工入職培訓計畫著手。更新你的入職培訓體系，將資訊安全納入其中。根據你現有的體系，你需要涵蓋所有政策、資產管理、系統存取、樓宇存取、密碼強度、惡意軟體、備份、軟體控制、網路安全、採購、安全事件處理和業務連續性等方面的內容。將這些項目添加到你的入職培訓清單中是一個非常明智的做法。

接下來，為所有員工實施持續的培訓和教育計劃，涵蓋上述所有事項。這是一個持續的過程。一次性的訓練和教育課程通常效果不佳，因為人們過一段時間就會忘記。制定一個不斷提醒員工資料安全的計劃，可以讓他們始終牢記資料安全的重要性，並幫助他們養成良好的自我保護習慣。這類計畫也能讓員工了解在這個快速發展的產業中出現的最新威脅。
您可以在所有員工或團隊會議中加入培訓內容。然後，您可以將參加會議的員工的培訓/教育完成情況記錄下來。

A.6.4 紀律程序

對於違反資訊安全政策的行為，應採取相應的懲罰措施，以起到威懾作用，並妥善處理違反政策的員工、承包商或其他相關方。

這可以納入您現有的任何紀律處分程序中，並且應該考慮到違規行為的性質和嚴重程度及其後果，是否是故意的，是初犯還是累犯，以及相關人員是否接受過適當的培訓。

A.6.5 終止僱傭關係或變更僱傭關係後的責任

這是資訊安全領域一個經常被忽視的方面，應該採用雙管齊下的方法來解決。

當員工或承包商離職或更換職位時，您的系統需要涵蓋以下內容：

• 您的系統完整性會受到怎樣的影響？
• 需要更改哪些存取權限？
• 密碼需要更改嗎？
• 你們會更改建築物或區域的訪問密碼嗎？
• 行動裝置資料會如何處理？
• 還有更多…

為了確保系統安全，需要監管很多方面。這些方面可以納入您的流程，從而確保您擁有一套完善的、經過深思熟慮的風險管理方案，以應對員工離職時可能出現的風險。

第二個需要考慮的因素是確保離職的員工或承包商了解他們在合約中籤署的各項責任，其中可能包括保護智慧財產權的非競爭條款，更重要的是保密和不披露協議，我們接下來將詳細討論這些協議…

A.6.6 保密或不揭露協議

此處的目的是透過確保您已製定適當的保密和不披露協議，來維護您組織內部以及與任何外部實體之間傳輸的資訊的安全。

這些規定應適用於員工、承包商以及任何其他可能需要存取您資訊的利害關係人，例如供應商。協議中包含的要求應考慮資訊的類型和分類（摘自 A.5.12，該內容已在先前的部落格文章中介紹過。 ）待處理的資訊。

A.6.7 遠距辦公

遠距辦公在企業中的日益普及可能為企業帶來相當大的風險。對於遠距辦公員工，您應該檢討並更新相關政策和流程，以確保他們的安全和權益得到充分保障。
您可以採取以下幾項措施來增強遠距辦公人員及其設備的安全性：

1. 提升密碼強度
2. 啟用雙重認證
3. 定期更新應用程式
4. 查看應用程式隱私設定

A.6.8 資訊安全事件報告

在 ISO 27002 中，資訊安全事件的定義是“已識別出系統、服務或網路狀態異常，表示可能違反資訊安全策略或控制措施失效，或先前未知但可能與安全相關的情況。 “

因此，這些事件需要盡快透過適當的管理管道進行報告。並非所有安全事件都是安全事故，因此需要謹慎對待，因為它們最終可能會演變成安全事故。一個關於區分安全事件和事故的真實案例已在“系統故障：全球性系統中斷帶給我們的網路安全和品質面向的啟示“。”

例如，澳洲網路安全中心 (ACSC) 會發布已知安全問題的警報。紐西蘭安全緊急應變小組 (CERTNZ) 也提供類似的服務。如果您訂閱了這些警報，相關人員將會收到通知，並且這些事件可以作為資訊安全事件記錄在您的系統中。

在公司內部，您的員工和承包商必須記錄並報告在系統或服務中發現或懷疑存在的任何資訊安全漏洞。

由於駭客和惡意軟體的手段日益高明，您的員工和承包商必須時刻警惕異常行為或安全漏洞。任何可疑情況都必須上報，即使最終並未發現問題。

這些問題應在相關團隊的定期會議上進行相關層級的討論，以確保他們了解新事件以及如何識別這些事件。

重點總結

本文內容涵蓋廣泛，以下是一些需要注意的關鍵點：

1. 為組織內的各個職位制定完善的職位描述，以便在篩選候選人時使用。
2. 確保在合約中明確列出資料安全預期和規則。同時，應制定相應的紀律處分程序，並告知相關人員。
3. 組織持續的資訊安全意識提升計劃，使員工及時了解最佳安全實踐，並時刻牢記安全意識，從而建立資料安全文化。
4. 隨著遠距辦公的出現，或員工遠端存取您的系統並攜帶資產，請確保已考慮這些風險，並已採取適當的控制措施來減輕這些風險。
5. 建立一套流程，讓員工報告資料安全事件，以便進行調查。

• 查看本系列的前一篇：政策合規性和資訊安全管理系統獨立審查控制措施的實務步驟 A.5.35 – A.5.37
• 查看本系列下一篇：控制措施 A.7.1 - A.7.5 中實體資訊安全管理系統保護的最佳實踐