Konsulent innen personvern og informasjonssikkerhet

Bakgrunn

DSS leverer «Topplederrekruttering» som en tjeneste til departementsfellesskapet. Tjenesten leveres av Seksjon for topplederrekruttering (TREK), og departementene kan bestille bistand til og rådgivning i forbindelse med rekruttering av toppledere i departementet (departementsråd, ekspedisjonssjef og kommunikasjonssjef) og øverste leder av underliggende virksomhet. Tjenesten inkluderer som regel aktivt markedssøk etter potensielle kandidater og er uavhengig av geografi og fagområde. Tjenesten ligner i stor grad på tjenester som leveres av private konsulentselskaper innenfor executive search. TREK skal anskaffe en «database for oppbevaring, systematisering og bruk av relevant informasjon om potensielle kandidater til topplederstillinger i staten». TREK er selv ansvarlig for vurderinger knyttet til formål, behandlingsgrunnlag, lagring, o.l. I dette arbeidet får de bistand fra avdelingens personvernrådgiver. I database-anskaffelsen ønsker TREK, som et utgangspunkt, at databasen blir en nettbasert skyløsning. Dette er basert på grundige markedsundersøkelser TREK har foretatt, og som viser at alle de mest relevante leverandørene kun leverer nettbaserte skyløsninger.

I arbeidet med konkurransegrunnlaget til anskaffelsen, får TREK bistand fra DSS sin Seksjon for anskaffelser (ANS). ANS bistår med merkantil anskaffelsesbistand, herunder valg av anskaffelsesprosedyre, utarbeidelse av blant annet kvalifikasjonskrav og tildelingskriterier, strukturere og definere hva som faktisk skal kjøpes inn, og publisering av konkurransen.

Oppdrag

DSS har behov for én konsulent med informasjonssikkerhetskompetanse som kan bistå inn i anskaffelsen. Teamet vil da bestå av konsulenten, fagressurser fra TREK, merkantil anskaffelsesrådgiver fra ANS og personvernrådgiver.

DSS sitt ISMS bygger på ISO 27001. Konsulenten skal bistå med alle nødvendige vurderinger av informasjonssikkerhet knyttet til anskaffelsen av database for TREK, basert på dette rammeverket og DSS sine egne rutiner. Konsulenten er ansvarlig for produksjon av all nødvendig dokumentasjon.

Konsulenten skal være kontaktperson mot oppdragsgiver, ha ansvar for leveransen og kvalitetssikring av leveransen.

Omfang og arbeidsoppgaver

Del 1

DSS må vurdere valg av leveransemodell, samt dokumentere vurderingene. Selv om det via Digitaliseringsrundskrivet ligger en føring om å vurdere skytjenester, vil ikke en skyløsning automatisk være riktig eller lovlig for enhver behandling. Valget må bygge på dokumenterte rettslige vurderinger, risiko, personvern, og informasjonssikkerhet. DSS har behov for bistand med disse vurderingene, samt utforme et kort beslutningsnotat knyttet til anskaffelse av nettbasert skytjeneste. Dette kan innebære vurdering knyttet opp mot flere regelverk, blant annet personvernregelverket og sikkerhetsloven.

Del 2

Gjennomføre risikovurderinger som svarer ut både informasjonssikkerhet og personopplysningssikkerhet etter GDPR. Resultatet av risikovurderingen vil, om nødvendig, nedfelles som skal-krav og bør-krav i kravspesifikasjonen som publiseres med anskaffelsen.

Kvalitetssikre/utforme skal-krav og bør-krav som må inn i kravspesifikasjonen

Bistå med å evaluere tilbudene hva gjelder informasjonssikkerhet når disse er kommet inn og levere korte skriftlige vurderinger av de aktuelle tilbudene.

Konsulenten må ha tett dialog med anskaffelsesrådgiver og fagressurser i DSS underveis for fremdrift, dialog og produksjon av alle nødvendige dokumenter.

Del 3

Kvalitetssikre risikovurderingene etter at leverandør er valgt og det foreligger mer informasjon om hva slags løsning som leveres.

Identifisere og nedfelle rutiner for bruk av databasen, før DSS tar denne i bruk.

Kompetanse og erfaring

• Konsulent med minimum 8 års erfaring eller mer innenfor arbeidsoppgavene som er angitt.
• Minimum formell kompetanse på mastergradsnivå eller tilsvarende innen fagområdet. Lang og dokumentert erfaring kan oppveie for kravet til formell kompetanse.
• Solid kompetanse med informasjonssikkerhet i offentlig sektor.
• God kompetanse og erfaring knyttet til informasjonssikkerhet og anerkjente standarder innen fagområdet, herunder ISO 2700x-serien.
• God erfaring med å gjennomføre risikovurderinger.
• Kjennskap til DFØs Markedsplassen for skytjenester, herunder Krav til informasjonssikkerhet i skyavtaler - referansearkitektur
• God kompetanse og forståelse for personvernregelverket, herunder erfaring med å identifisere problemstillinger og gjennomføre DPIA.

Egenskaper

• God evne til å kommunisere klart og effektivt med både tekniske og fagadministrative miljøer, herunder kunne presentere saken for DSS kontrollerende og styrende funksjoner som personvernombud og CISO.
• God evne til å jobbe selvstendig, men også i tett samarbeid i et tverrfaglig miljø.

Oppstart og varighet: Snarest til 31.01.2027

Omfang: 100 timer

Opsjon: Bistanden vil etter avtale kunne forlenges og økes i antall timer i tråd med varighet på anskaffelsen

Arbeidssted: Remote/etter avtale

Søknadsfrist: 16.11.2026