A.6.5 任用终止或变更的责任

ISO/IEC 27001:2022　A.6 人员控制

条款正文

A.6.5 任用终止或变更的责任
终止或变更雇佣关系后仍有效的信息安全责任和义务应明确、执行并传达给相关人员和其他相关方。

审核要点

• 建立离职管理机制
• 建立调岗管理机制
• 离职交接管理
• 账号权限回收
• 门禁权限回收
• 设备资产回收
• 数字证书回收
• 保密义务延续
• 记录保存
• 效果验证

审核证据示例

• 离职管理制度
• 调岗管理流程
• 离职审批单
• 工作交接记录
• 账号注销记录
• 门禁权限注销记录
• IT资产回收记录
• USB Key回收记录
• 保密承诺书
• 人事档案

审核记录示例

查阅离职管理制度1份。
抽查离职员工档案3份。
查阅离职审批记录3份。
查阅账号注销记录3份。
查阅门禁权限注销记录2份。
查阅IT资产回收记录3份。
访谈人力资源负责人1名。
访谈系统管理员1名。
经核实，组织建立离职和岗位变更管理机制，能够及时回收权限和相关资产。

高频问题清单

• 离职账号未关闭
• VPN权限未回收
• 门禁权限未注销
• 调岗权限未调整
• 资产未回收
• 无交接记录
• 保密义务未提醒
• 离职流程执行不到位
• 权限长期保留
• 记录缺失

审核公式

离职调岗别大意，
权限资产要清理；
保密责任仍继续，
信息安全有依据。

审核链条

提出离职 → 审批办理 → 工作交接 → 资产回收 → 权限注销 → 保密确认 → 档案归档

不符合项（NC）格式

审核抽查离职管理活动，发现离职员工账号未及时注销。
无法证实组织已落实雇佣终止后的信息安全职责。
不符合ISO/IEC 27001:2022附录A.6.5有关：
“终止或变更雇佣关系后的信息安全职责和责任应予以定义、执行并沟通。”
的要求。
审核抽查岗位调整管理活动，发现员工岗位变更后权限未及时调整。
无法证实组织已落实岗位变更后的信息安全职责管理。
不符合ISO/IEC 27001:2022附录A.6.5有关：
“终止或变更雇佣关系后的信息安全职责和责任应予以定义、执行并沟通。”
的要求。
审核抽查离职管理活动，发现离职手续中未包含保密义务提醒和资产交接要求。
无法证实组织已执行终止雇佣后的信息安全责任。
不符合ISO/IEC 27001:2022附录A.6.5有关：
“终止或变更雇佣关系后的信息安全职责和责任应予以定义、执行并沟通。”
的要求。

常见问题清单

• 是否建立离职管理制度？
• 是否建立岗位变更管理流程？
• 离职时是否办理交接？
• 是否及时回收账号权限？
• 是否回收办公设备？
• 是否回收门禁权限？
• 是否回收证书和令牌？
• 是否提醒保密义务持续有效？
• 是否保留离职记录？
• 是否检查权限回收情况？

加入检查表 →