Article considérant 22

(22) Afin d’éviter que les employés ne puissent abuser, par exemple, des droits d’accès au sein de l’entité concernée pour causer un préjudice et des dommages, les entités concernées devraient envisager des mesures appropriées de gestion de la sécurité du personnel et sensibiliser le personnel à ces risques. Les entités concernées devraient établir, communiquer et maintenir une procédure disciplinaire de traitement des violations de leurs politiques de sécurité des réseaux et des systèmes d’information, qui peut être intégrée dans d’autres procédures disciplinaires établies par ces entités. Les vérifications des antécédents des employés et, s’il y a lieu, des fournisseurs et des prestataires de services directs des entités concernées devraient contribuer à l’objectif de sécurité des ressources humaines dans les entités concernées et peuvent comprendre des mesures telles que des vérifications du casier judiciaire ou des fonctions professionnelles passées de la personne, selon les fonctions qu’elle occupe au sein de l’entité concernée et conformément à la politique de l’entité concernée en matière de sécurité des réseaux et des systèmes d’information.