6.5 Obowiązki po zakończeniu lub zmianie zatrudnienia
Kontrola
Obowiązki i odpowiedzialności związane z bezpieczeństwem informacji, które pozostają w mocy po zakończeniu lub zmianie zatrudnienia, powinny być określone, egzekwowane i przekazane odpowiednim pracownikom oraz innym zainteresowanym stronom.
Cel
Ochrona interesów organizacji w ramach procesu zmiany lub zakończenia zatrudnienia bądź umowy.
Wytyczne
Proces zarządzania zakończeniem lub zmianą zatrudnienia powinien określać, które obowiązki i odpowiedzialności związane z bezpieczeństwem informacji pozostają w mocy po zakończeniu lub zmianie zatrudnienia. Może to obejmować poufność informacji, własność intelektualną oraz inne zdobyte w trakcie zatrudnienia zasoby wiedzy, a także obowiązki wynikające z umów o zachowaniu poufności (zob. 6.6).
Obowiązki i odpowiedzialności obowiązujące po zakończeniu zatrudnienia lub umowy powinny być zawarte w warunkach zatrudnienia (zob. 6.2), umowie lub innym porozumieniu. Inne kontrakty lub umowy, które obowiązują przez określony czas po zakończeniu zatrudnienia danej osoby, mogą również zawierać zobowiązania dotyczące bezpieczeństwa informacji.
Zmiany w zakresie odpowiedzialności lub stanowiska pracy powinny być traktowane jako zakończenie dotychczasowych obowiązków i rozpoczęcie nowych. Należy zidentyfikować i przekazać obowiązki związane z bezpieczeństwem informacji innym osobom przejmującym te role.
Powinien zostać wdrożony proces komunikacji zmian i procedur operacyjnych dla personelu, innych zainteresowanych stron oraz odpowiednich osób kontaktowych (np. klientów i dostawców).
Proces zakończenia lub zmiany zatrudnienia powinien obejmować również personel zewnętrzny (np. dostawców) w przypadku rozwiązania umowy, zakończenia pracy w organizacji lub zmiany stanowiska w ramach organizacji.
Inne informacje
W wielu organizacjach funkcja HR jest odpowiedzialna za cały proces zakończenia zatrudnienia i współpracuje z przełożonym osoby odchodzącej w celu zarządzania aspektami bezpieczeństwa informacji związanymi z tym procesem. W przypadku personelu dostarczanego przez podmiot zewnętrzny (np. dostawcę) proces ten jest realizowany przez stronę zewnętrzną zgodnie z umową zawartą między organizacją a tym podmiotem.