ISMS体系人员安全控制.docVIP

PAGE / NUMPAGES ISMS体系人员安全控制 岗位定义和资源分配的安全 目标：降低人为错误、盗窃、诈骗或误用设备的风险。 应该在新员工聘用阶段就提出安全责任问题，包括在聘用合同中，并且在员工的雇佣期间进行监督。 应该对可能的新员工进行充分的筛选，尤其是从事敏感工作的员工。所有雇员以及信息处理设施的第三方用户都应该签署保密（不泄密）协议。 1. 岗位责任中的安全 安全任务和责任，如同在组织的信息安全方针中规定的（见3.1），应该在适当的情况下形成文件。这些任务和责任既应该包括实现或保持安全方针的任何一般责任，又应该包括保护特定资产或执行特定的安全过程或活动的任何具体责任。 2. 人员选拔及方针 对终身员工的核实检查应该在招聘时进行。这应该包括以下控制措施： 具有令人满意的能力、人品推荐材料，如针对工作或针对个人的； 应聘者相关阅历的检查（针对完整性和准确性）； 声称的学术或专业资格的确认； 独立的身份检查（护照或类似证件）。 无论是初次任命还是提升，当一项工作涉及的人员具有访问信息处理设备的机会，特别是如果这些设备处理敏感信息，如财务信息或高度机密的信息时，组织应该同样进行信用检查。对于处在有相当权力位置的人员，这种检查应该定期重复。 对于合同方和临时员工应该执行相似的筛选程序。若这些人员是由代理机构推荐的，则在与代理机构签订的合同中应该明确规定该代理机构的筛选责任，以及