ISO/IEC 27001:2022 · Annex A controls · destino de mapeo derivado

A.6.2Terms and conditions of employment

Set out information security responsibilities in employment contracts and agreements, so staff understand their obligations from day one.

El mapeo de un vistazo

A.6.2Terms and conditions of employmentISO/IEC 27001:2022 · Annex A controls

RCF-0005Roles & responsibilitiesGovernance & Risk · Proceso

A.6.2 queda cubierto por 1 control del Sekit CSF. Abrir en el grafo completo →

Mapeado desde el Sekit CSF

Los controles de Sekit que cubren este requisito, lente a lente.

RCF-0005Roles & responsibilities · ProcesoapoyaEste control de proceso asegura que las personas con funciones de seguridad asignadas las cumplen con un ritmo verificable, el seguimiento continuo que da peso práctico a las obligaciones contractuales de seguridad bajo A.6.2.

Correspondencias en NIST CSF 2.0

Alcanzadas a través de los controles del Sekit CSF que ambos mapean: un mapeo, no una equivalencia formal.

Correspondencias en ISO/IEC 42001:2023 — Annex A

Correspondencias en Cyber Essentials

En la práctica

En la práctica esto es una cláusula en el contrato laboral o un acuerdo de uso aceptable adjunto que detalla las obligaciones de seguridad antes de que la persona comience, no una mención genérica de que la seguridad importa. Los auditores piden ver una copia firmada de un empleado contratado recientemente y verifican si las obligaciones ahí referidas coinciden con lo que se exige a la persona, como la confidencialidad tras la salida o el uso aceptable de los sistemas de la empresa. El vacío común es una cláusula tipo redactada una vez por el área jurídica que nadie ha actualizado para reflejar la política vigente, así que el contrato y la política de seguridad se han distanciado.

Brechas habituales

El contrato laboral hace referencia genérica a las políticas de seguridad de la empresa sin nombrar qué documento o versión aceptó el empleado.

Los contratistas y el personal temporal firman un acuerdo distinto y más antiguo que nunca se actualizó cuando cambiaron las cláusulas de seguridad para empleados.

Nadie puede presentar un acuse de recibo firmado para empleados contratados hace más de un año, solo para las contrataciones recientes.

Preguntas que hará tu auditor

¿Qué obligaciones de seguridad especifica un contrato laboral?

Una cláusula firmada o un anexo que nombra confidencialidad, uso aceptable y las políticas aplicables, contrastado contra la versión de la política vigente.

¿Los contratistas firman los mismos términos de seguridad que los empleados?

Los acuerdos de contratistas incluyen cláusulas de seguridad equivalentes, revisadas contra la misma versión de política a la que se sujeta a los empleados.

¿Pueden mostrar un acuse de recibo firmado de un empleado contratado recientemente?

Un contrato firmado o un acuse de recibo de incorporación archivado, con fecha igual o anterior a la de inicio del empleado.

Dónde lo exige la regulación

NIS2 10.1 exige medidas de seguridad de recursos humanos, que comienzan con términos de seguridad incorporados en la propia relación laboral.

ENS org.1 exige una política de seguridad escrita, la misma política que el personal está contractualmente obligado a aceptar bajo A.6.2.

Controles relacionados

Vía el tema compartido del Sekit CSF, no el índice del propio marco.

Pregúntale a Sekura: «¿Qué evidencia demuestra A.6.2?»

Conecta tu IA · MCP gratis

https://sekit.ai/api/mcp/crosswalk

En Claude o ChatGPT, añade un conector personalizado y pega esta URL.
Inicia sesión con tu correo para terminar. Gratis, de solo lectura, sin necesidad de organización.