A.6.1 审查

ISO/IEC 27001:2022　A.6 人员控制

条款正文

A.6.1 审查
在加入组织之前，应持续进行背景审核，检查所有候选人员，同时考虑适用法律、法规和道德，并按业务要求、访问信息的分类和感知风险进行。

审核要点

• 建立人员筛选制度
• 识别关键岗位
• 身份核验
• 学历核验
• 工作经历核验
• 背景调查实施
• 外包人员筛选
• 风险岗位重点控制
• 记录保存
• 合法合规实施

审核证据示例

• 招聘管理制度
• 人员筛选程序
• 背景调查记录
• 身份证明材料
• 学历证明材料
• 岗位说明书
• 劳动合同
• 外包人员管理记录
• 人事档案
• 招聘审批记录

审核记录示例

查阅招聘管理制度1份。
查阅关键岗位清单1份。
抽查员工档案5份。
查阅背景调查记录3份。
查阅学历验证记录3份。
查阅身份信息核验记录3份。
访谈人力资源负责人1名。
经核实，组织已建立人员筛选机制，对关键岗位人员实施背景调查和资格核验。

高频问题清单

• 未开展背景调查
• 关键岗位未筛选
• 身份核验缺失
• 学历证明未核查
• 工作经历无法验证
• 外包人员未管理
• 无筛选记录
• 制度未落实
• 风险岗位遗漏
• 不符合当地法律要求

审核公式

人员录用先把关，
背景调查要做全；
关键岗位严筛选，
降低风险保安全。

审核链条

岗位需求 → 岗位风险识别 → 人员招聘 → 背景调查 → 资格审核 → 录用审批 → 入职管理

不符合项（NC）格式

审核抽查人员管理活动，发现组织未对拟录用的信息安全关键岗位人员开展背景调查。
无法证实组织已根据岗位要求实施适当筛选。
不符合ISO/IEC 27001:2022附录A.6.1有关：
“应根据适用法律法规和职业道德要求对候选人进行背景验证检查。”
的要求。
审核抽查人员招聘活动，发现组织无法提供关键岗位人员背景调查记录。
无法证实组织已实施人员筛选控制措施。
不符合ISO/IEC 27001:2022附录A.6.1有关：
“应根据适用法律法规和职业道德要求对候选人进行背景验证检查。”
的要求。
审核抽查外包人员管理活动，发现外包运维人员直接接触生产系统，但未进行背景核查。
无法证实组织已识别和控制人员带来的信息安全风险。
不符合ISO/IEC 27001:2022附录A.6.1有关：
“应根据适用法律法规和职业道德要求对候选人进行背景验证检查。”
的要求。

常见问题清单

• 是否建立人员筛选管理制度？
• 是否识别需重点筛查岗位？
• 是否核验员工身份信息？
• 是否核验学历及资格证书？
• 是否核查工作经历真实性？
• 是否开展背景调查？
• 是否评估诚信记录？
• 是否对外包人员实施筛选？
• 是否保留筛选记录？
• 是否符合当地法律法规要求？

加入检查表 →