A.6.2 任用条款及条件

ISO/IEC 27001:2022　A.6 人员控制

条款正文

A.6.2 任用条款及条件
劳动合同协议应明确员工和组织在信息安全方面的责任。

审核要点

• 合同中规定安全责任
• 保密义务明确
• 信息安全职责明确
• 违规责任明确
• 知识产权归属明确
• 离职责任明确
• 法律要求落实
• 员工签字确认
• 文件保存完整
• 定期更新

审核证据示例

• 劳动合同
• 保密协议
• 员工手册
• 岗位职责说明书
• 知识产权协议
• 签收记录
• 培训记录
• 人事档案
• 制度文件
• 法务审核记录

审核记录示例

查阅劳动合同5份。
查阅保密协议5份。
查阅员工手册1份。
查阅知识产权协议3份。
抽查签收记录5份。
访谈员工3名。
经核实，组织已通过劳动合同和保密协议明确员工信息安全责任和保密义务。

高频问题清单

• 未签保密协议
• 合同无安全要求
• 职责不明确
• 知识产权归属不清
• 离职义务未约定
• 文件未签字
• 档案不完整
• 外包人员未签协议
• 制度长期未更新
• 员工不知晓要求

审核公式

劳动合同先约定，
安全职责要写明；
保密责任全落实，
员工守规保运行。

审核链条

人员录用 → 合同签署 → 职责约定 → 制度宣贯 → 培训确认 → 档案保存

不符合项（NC）格式

审核抽查劳动合同管理活动，发现员工劳动合同中未包含信息安全职责要求。
无法证实组织已在雇佣条款中明确信息安全责任。
不符合ISO/IEC 27001:2022附录A.6.2有关：
“雇佣协议应说明人员和组织的信息安全责任。”
的要求。
审核抽查人员管理活动，发现关键岗位员工未签署保密承诺文件。
无法证实组织已明确人员的信息安全责任和义务。
不符合ISO/IEC 27001:2022附录A.6.2有关：
“雇佣协议应说明人员和组织的信息安全责任。”
的要求。
审核抽查外包人员管理活动，发现外包服务协议未明确保密责任。
无法证实组织已通过协议落实信息安全要求。
不符合ISO/IEC 27001:2022附录A.6.2有关：
“雇佣协议应说明人员和组织的信息安全责任。”
的要求。

常见问题清单

• 劳动合同是否包含信息安全要求？
• 是否签署保密协议？
• 是否规定员工安全职责？
• 是否明确违规责任？
• 是否约定知识产权归属？
• 是否明确离职保密义务？
• 是否规定个人信息保护责任？
• 是否要求遵守安全制度？
• 是否完成签字确认？
• 是否定期更新协议内容？

加入检查表 →