Was fordert die ISO 27001 bei Hintergrundprüfungen?
Die ISO/IEC 27001:2022 behandelt mit Control 6.1 „Screening” Hintergrundprüfungen von Personen, bevor diese eine Beschäftigung aufnehmen, sowie bei Bedarf im weiteren Beschäftigungsverhältnis.
Ziel ist es, mögliche personelle Sicherheitsrisiken frühzeitig zu erkennen und angemessen zu berücksichtigen. Dabei richtet sich der Umfang der Prüfungen nach der jeweiligen Funktion, dem Zugang zu sensiblen Informationen, den identifizierten Risiken und den geltenden rechtlichen Rahmenbedingungen.
Hintergrundprüfungen sind damit ein Bestandteil eines umfassenden Konzepts zur Personalsicherheit und sollten in die bestehenden Informationssicherheitsprozesse eingebunden werden.
Welche Hintergrundprüfungen sind relevant?
Im Rahmen von Employment Screening können unterschiedliche Prüfungen dazu beitragen, Angaben von Bewerbenden zu verifizieren und mögliche Sicherheitsrisiken zu erkennen.
Zu den möglichen Maßnahmen gehören beispielsweise:
- Identitätsverifizierung: Bestätigung der Identität einer Person anhand geeigneter Nachweise.
- Verifizierung von Bildungsabschlüssen: Prüfung der angegebenen Qualifikationen und Abschlüsse.
- Prüfung der Beschäftigungshistorie: Verifizierung bisheriger beruflicher Stationen und Tätigkeiten.
- Referenzprüfung: Einholung und Bewertung berufsbezogener Referenzen, soweit zulässig.
Welche dieser Prüfungen angemessen sind, hängt von den jeweiligen Sicherheitsanforderungen und rechtlichen Voraussetzungen ab.
Warum ist ein risikobasierter Ansatz entscheidend?
Nicht alle Beschäftigten sind denselben Sicherheitsrisiken ausgesetzt. Während bestimmte Funktionen umfangreiche Zugriffsrechte auf vertrauliche Informationen oder kritische Systeme erfordern, haben andere Positionen nur begrenzten Zugang zu sensiblen Bereichen.
Die Ergebnisse der unternehmensinternen Risikoanalyse im Rahmen der ISO 27001 können dabei eine wichtige Grundlage bilden. Sie helfen, relevante Sicherheitsrisiken zu identifizieren und angemessene Maßnahmen für unterschiedliche Funktionen abzuleiten.
So lassen sich Hintergrundprüfungen gezielt einsetzen, ohne unnötige Prüfungen durchzuführen oder unverhältnismäßig in die Rechte betroffener Personen einzugreifen.
Employment Screening einheitlich umsetzen
Neben der Auswahl geeigneter Prüfungen kommt es auf eine einheitliche Umsetzung an.
Dafür braucht es klare Verantwortlichkeiten zwischen Security, Compliance und HR sowie definierte Abläufe für die Durchführung und Bewertung von Prüfungen.
Ein strukturierter Prozess berücksichtigt zudem den Datenschutz, dokumentiert relevante Entscheidungen und ermöglicht es, die Maßnahmen bei veränderten Risiken anzupassen. Gleichzeitig erleichtert eine Dokumentation die Darstellung der Prozesse im Rahmen von Audits.
Risikobasiertes Employment Screening mit DISA
Die praktische Umsetzung von Employment Screening kann Unternehmen vor organisatorische und fachliche Herausforderungen stellen. Insbesondere dann, wenn unterschiedliche Prüfanforderungen, Verantwortlichkeiten und Datenschutzvorgaben berücksichtigt werden müssen.
Spezialisierte Dienstleister wie DISA können interne Teams durch fachliche Expertise, standardisierte Prüfprozesse und skalierbare Kapazitäten unterstützen. Die Verantwortung für die unternehmensinternen Sicherheitsanforderungen und Entscheidungen verbliebt dabei beim Unternehmen.
ISO 27001: Ist Ihre Screening-Richtlinie praxistauglich?
Wie gut sind Ihre Prüfprozesse bereits aufgestellt? Anhand von sechs Fragen können Sie prüfen, ob Ihre Screening-Richtlinie risikobasiert gestaltet ist und klare Verantwortlichkeiten sowie Abläufe definiert.