Ny tjänst: Bambuser söker Information Security Manager i Stockholms kommun – det här söker arbetsgivaren
Bambuser söker Information Security Manager i Stockholms kommun. Rollen beskrivs som en nyckelfunktion för att vidareutveckla bolagets informationssäkerhetsarbete i takt med ökade kundkrav och förändrad reglering, med särskilt fokus på AI.
Enligt annonsen har Bambuser redan en ISO 27001-certifierad ledningssystemstruktur (ISMS). Den som kliver in i rollen får ansvar för att äga och förvalta ISMS:et, hålla verksamheten “audit-ready” året runt och stötta organisationen med praktiska policies, styrning och kontrollarbete. Rollen ligger i Operations och rapporterar till VP Operations, med nära samverkan med Legal, Engineering, IT Ops och kommersiella team.
Arbetsgivaren anger att man prioriterar kandidater som redan är baserade i Stockholm och som kan arbeta i Sverige utan visumsponsring. Exakt arbetsform (t.ex. hybrid/onsite), anställningsform och sista ansökningsdag framgår inte av annonsen.
Ansvar och arbetsuppgifter
Annonsen beskriver ett brett ansvar som spänner över styrning, regelefterlevnad, revisioner och praktiskt förbättringsarbete i informationssäkerhetsprogrammet.
- ISMS-styrning och revision: äga ISO 27001-certifieringens livscykel och ISMS-årshjul, inklusive utbildningar, ledningens genomgångar, avvikelsehantering och korrigerande åtgärder.
- Risk- och tillgångsregister: förvalta informationssäkerhetens Risk Register och Asset Register, samt koppla risker till verksamhetens prioriteringar.
- Interna och externa revisioner: driva revisioner end-to-end, från scope och bevisinsamling till samordning med intressenter och uppföljning av åtgärder.
- Policy- och styrdokument: äga ISMS-biblioteket och ta fram policies, playbooks och kontrolldokumentation som fungerar i praktiken och håller för granskning.
- Kund- och leverantörsdialog: vara kontaktpunkt i säkerhetsgranskningar från enterprise-kunder, RFP-säkerhetsdelar och Trust Center.
- Upphandling och tredjepartsrisk: granska nya verktyg och leverantörer (inklusive AI-verktyg) avseende datahantering, åtkomst och integrationsrisk innan införande.
- Regulatorik, integritet och AI: tillsammans med Legal följa reglering på Bambusers marknader och översätta krav till konkreta säkerhetskontroller; bidra till integritetsarbete såsom ROPA och DPIA samt hålla AI-riktlinjer uppdaterade.
- Säkerhetstestning: koordinera penetrationstester med leverantörer och Engineering, inklusive scope, åtkomst och hantering av findings till åtgärd.
- Säkerhetsutbildning: ansvara för security awareness-program, onboarding och återkommande utbildningsinsatser.
- Automation: dokumentera och automatisera säkerhetsflöden, bland annat för evidensinsamling, kontrollövervakning, utbildningspåminnelser och revisionsplanering.
Kravprofil: kompetens och erfarenhet
Krav enligt annonsen:
- Minst 5 års erfarenhet inom informationssäkerhetscompliance, IT-revision eller risk management, gärna i B2B SaaS eller annan snabbväxande techmiljö.
- Dokumenterad erfarenhet av att implementera eller förvalta ISO/IEC 27001-certifiering.
- God praktisk kunskap om GDPR och hur säkerhetskontroller stödjer integritetsefterlevnad i multi-tenant SaaS-miljöer.
- Medvetenhet om framväxande AI-reglering, inklusive EU AI Act, och dess konsekvenser för teknikbolag.
- Teknisk grundförståelse: kunna kartlägga system, dataflöden och integrationer samt ge råd kring säkerhetskonsekvenser vid arkitekturförändringar.
- Erfarenhet av att automatisera evidensinsamling eller kontrollmonitorering, samt att kunna värdera GRC-plattformar jämfört med att bygga interna lösningar.
- Förmåga att omsätta komplexa krav till pragmatiska arbetssätt.
- Stark kommunikationsförmåga: kunna förklara säkerhetsrisk i affärstermer för ledning, kunder och medarbetare.
- Proaktivt och lösningsorienterat arbetssätt.
Meriterande enligt annonsen:
- Erfarenhet av att driva eller stödja program för penetrationstestning.
- Erfarenhet av att arbeta i eller med börsnoterade bolag och kännedom om deras krav på intern kontroll.
Vilken typ av säkerhetsroll är det?
Rollen är tydligt inriktad på informationssäkerhet/IT-säkerhet med tyngdpunkt på styrning, riskhantering och regelefterlevnad (GRC). Fokus ligger på att äga och vidareutveckla ett ISO 27001-baserat ledningssystem (ISMS), driva revisioner och säkerställa att processer, policyer och kontroller fungerar i praktiken.
Samtidigt betonar annonsen gränsytan mot lag & rätt genom nära samarbete med Legal, särskilt kopplat till GDPR, integritetsarbete (ROPA och DPIA) samt att omsätta AI-reglering till konkreta kontroller och riktlinjer. Kund- och leverantörsgranskningar, RFP-svar och tredjepartsrisk är centrala delar, vilket speglar kravbilden i enterprise-nära SaaS-verksamhet.
Det här bör kandidater lyfta i ansökan
För att matcha Bambusers beskrivning av rollen kan det vara relevant att i ansökan konkretisera:
- Exempel på hur du drivit eller förvaltat ISO 27001/ISMS i praktiken: årshjul, ledningens genomgång, avvikelsehantering och förbättringsarbete.
- Hur du arbetat med risk- och tillgångshantering (Risk Register/Asset Register) och kopplat risker till verksamhetsmål.
- Erfarenhet av interna och externa revisioner: scope, evidensinsamling, samordning och uppföljning av åtgärder.
- Hur du utformat “rätt nivå” på policyer, playbooks och kontrolldokumentation så att de både är granskningsbara och användbara.
- Exempel på kundnära säkerhetsarbete: enterprise security reviews, Trust Center-innehåll eller RFP-säkerhetsavsnitt.
- Hur du hanterat tredjepartsrisk vid upphandling av nya verktyg och leverantörer, inklusive bedömning av datahantering, åtkomst och integrationer.
- Praktisk GDPR-koppling: hur säkerhetskontroller stödjer integritetsefterlevnad, samt eventuell erfarenhet av ROPA och DPIA ur säkerhetsperspektiv.
- Arbetssätt för penetrationstester och remediation-flöden tillsammans med utveckling/engineering.
- Konkreta exempel på automation: evidensinsamling, kontrollmonitorering, påminnelser och schemaläggning som minskar manuellt arbete.
- Hur du kommunicerar säkerhetsrisk och prioriteringar till både ledning och operativa team.
Så söker du tjänsten
Annonsen beskriver att Bambuser prioriterar kandidater som redan är baserade i Stockholm och som kan arbeta i Sverige utan visumsponsring. Exakt hur ansökan ska skickas in framgår inte av det angivna annonsunderlaget, och inte heller sista ansökningsdag.
Sammanfattningsvis signalerar tjänsten ett tydligt kompetensbehov inom informationssäkerhet, ISO 27001/ISMS, revision och praktisk compliance i en enterprise-nära SaaS-miljö, med växande fokus på AI-relaterad risk och reglering.
