Jautājumā tiek jautāts, vai mēs uzņemamības laikā noskreenējam darbiniekus

Personāla pārbaude ir daļa no cilvēkresursu vadības drošības, nevis no piekļuves kontroles

Jautājums par personāla pārbaudi pirms nolīgšanas ir saistīts ar personāla drošību, vienu no desmit pasākumiem saskaņā ar NIS2 21. panta 2. punktu — īpaši minēts g) punktā kopā ar darba apstākļiem un disciplinārajiem pasākumiem pārkāpumu gadījumā. Tas ir atšķirīgs virziens nekā piekļuves kontrole: pārbaude attiecas uz to, kuru cilvēku tu nolīgsti, piekļuves politikas attiecas uz to, ko persona drīkst redzēt vai darīt, tiklīdz viņa ir iekšā. Tāpēc šajā jautājumā nepieliek automātiski "jā", ja jau pastāv piekļuves matrica — tas ir cits pierādījums.

Tas, ko var atzīt par pierādījumu, ir atkarīgs no tā, kas notiek praksē. VOG pienākums (uzvedības deklarācija) funkcijām ar piekļuvi sensitīvām sistēmām ir konkrētākais pierādījums. Ja tas trūkst, tad arī pastāvīga procedūra pieņemšanas procesā skaitās: atsauču pārbaude, identitātes verifikācija, un ISO 27001 sertificētiem uzņēmumiem pārbaudes klausule no Pielikuma A 6.1 (pirms darba attiecību sākuma). Bez ISO sertifikata un bez VOG politikas atbilde parasti ir "nē" vai "daļēji" — un tas ir labi aizpildīt tā. Neizveidoji pārbaudes procesu, kāds neeksistē; ja klients par to vēl jautā, tad godīgs "nē, bet jā funkcijām X un Y" ir spēcīgāks par jā, kas audita laikā neizturas.

No kā tas nāk: NIS2 21. panta 2. punkts zem g un Pielikums A 6.1

NIS2 21. panta 2. punkta desmit pasākumi personāla drošību nosaka skaidri zem (g), kopā ar piekļuves kontroli un uzņēmuma līdzekļu vadību. Praksē to bieži vērtē kopā ar apmācību kiberdrošības higiēnā, jo abi ietilpst tajā pašā cilvēkresursu vadības politikā. Uzņēmumiem ar ISO 27001 sertifikātu attiecīgais vadības pasākums atrodams Pielikumā A saskaņā ar klauzulu par personāla pārbaudi pirms darba attiecību sākuma — tāpēc jautā, vai uzņēmuma ISO 27001 sertifikāts šo klauzulu ietver, jo ne katrs sertifikāts ir vienlīdz plašs. Uzņēmumiem, kas paši tikai pēc 2026. gada 15. augusta ietilpst Kiberbeveiliguma likuma jomā, šis vēl nav juridisks pienākums, bet klients bieži jau par to jautā, gatavojoties piegādes ķēdes pienākumiem.