Strateg informations- & cybersäkerhet på VGR – kravprofil

Västra Götalandsregionen söker Strateg inom informations- & cybersäkerhet. Läs om ansvar, kravprofil, meriter och vad du bör lyfta i ansökan – med CISO-inslag.

Ny tjänst: Strateg med inriktning informations- och cybersäkerhet på Västra Götalandsregionen – det här söker arbetsgivaren

Västra Götalandsregionen (VGR) rekryterar en Strateg med inriktning informations- och cybersäkerhet på Västra Götalandsregionen. Rollen är placerad vid koncernkontoret och ingår i Koncernstab säkerhet och civil beredskap, som leder, utvecklar och samordnar regionens arbete med säkerhet och civil beredskap över hela hotskalan.

I uppdraget ligger att hålla samman och kvalitetssäkra informations- och cybersäkerhetsfunktionernas strategiska bidrag till VGR:s samlade säkerhetsarbete. Enligt annonsen ingår också att vid behov kunna agera i rollen som CISO.

Ort, anställningsomfattning och sista ansökningsdag framgår inte i annonsunderlaget.

Ansvar och arbetsuppgifter

Rollen beskrivs som en strategisk helhetsfunktion som kopplar ihop flera delområden inom informationssäkerhet och IT-/cybersäkerhet. Exempel på ansvar enligt annonsen:

Hålla samman och kvalitetssäkra informations- och cybersäkerhetsfunktionernas strategiska bidrag till regionens samlade arbete.
Skapa samband mellan informationssäkerhet, dataskydd, cybersäkerhetsarkitektur, risk- och kontinuitetshantering, tekniska skyddsåtgärder och operativ CERT-förmåga.
Utveckla övergripande strategisk inriktning för området och ta fram kvalificerade underlag för styrning, prioritering och beslut.
Följa förändringar i hotbild, reglering, teknik och verksamhetsberoenden samt bedöma konsekvenser för regionens långsiktiga förmåga.
Säkerställa återföring av lärdomar från CERT, incidenter, granskningar, säkerhetstester och övningar till styrning, arkitektur och arbetssätt.
Samverka med funktioner för risk- och kontinuitet, ledningssystem och styrande dokument samt berörda verksamhets-, digitaliserings- och IT-funktioner.
Vid behov agera som CISO: ge strategisk rådgivning till ledning och beslutsfattare, bidra till samlad lägesförståelse och prioritera vid större/komplexa incidenter och förändrade hotlägen.
Genomföra kvalificerad handläggning, utredning, konsekvensbedömning och beredning av ärenden.
Ta roller som exempelvis huvudhandläggare, uppdragsledare, metodansvarig, nätverksledare eller senior domänexpert i tvärfunktionella uppdrag.

VGR understryker att uppgiften är att hålla ihop helhetsperspektivet och samspelet mellan funktioner, inte att ta över deras sakansvar eller linjechefers ansvar för verksamhet och personal.

Kravprofil: kompetens och erfarenhet

Krav

Akademisk examen eller annan utbildning och erfarenhet som arbetsgivaren bedömer likvärdig.
Omfattande erfarenhet av kvalificerat strategiskt arbete inom informations- och cybersäkerhet, inklusive dokumenterad förmåga att hålla samman flera specialistområden över organisatoriska och tekniska gränser.
Erfarenhet av strategiskt arbete vid större cyberincidenter, allvarliga störningar eller förändrade hotlägen, samt förmåga att prioritera och ge strategisk inriktning under tidspress och osäkerhet.
Erfarenhet av kvalificerad handläggning, utredning, konsekvensbedömning, utvecklingsarbete och att ta fram strategiska underlag för styrning och beslut.
Bred och aktuell kunskap om informations- och cybersäkerhet, cyberhot, riskhantering, säkerhetskrav och kontinuitet.
Erfarenhet av att utveckla och kvalitetssäkra strategisk inriktning, styrning, principer, modeller/ramverk eller andra strukturer inom området.
God förståelse för cybersäkerhetsarkitektur och hur skyddsbehov/säkerhetskrav integreras i utveckling, anskaffning, förvaltning och avveckling av digitala tjänster och system.
God förståelse för samspelet mellan informationssäkerhet, dataskydd, cybersäkerhet, säkerhetsskydd, riskhantering, kontinuitet och operativ incidenthantering.
Erfarenhet av att omsätta lagkrav, verksamhetsbehov, hot, risker och tekniska förutsättningar till styrning och praktiskt tillämpbara krav.
Erfarenhet av att ge kvalificerad strategisk rådgivning till ledning eller andra beslutsfattare.
Mycket god förmåga att kommunicera komplexa informations- och cybersäkerhetsfrågor och skapa förankring hos ledning, verksamhet och tekniska specialister.
God förståelse för samhällsviktig verksamhet och sambandet mellan informations-/cybersäkerhet, verksamhetskontinuitet och kritiska digitala beroenden.
Mycket god svenska och engelska i tal och skrift.

Meriterande

Erfarenhet av att verka som CISO, biträdande CISO eller i annan roll med motsvarande sammanhållande ansvar.
Erfarenhet av strategiskt informations- och cybersäkerhetsarbete inom hälso- och sjukvård eller annan samhällsviktig verksamhet, inklusive systemkunskap om organisation, kritiska informationsflöden, digitala miljöer och medicintekniska beroenden.
Erfarenhet av att företräda informations- och cybersäkerhetsområdet inför ledning, styrelse, tillsynsmyndighet eller externa aktörer.
Erfarenhet av ledningssystem och systematisk uppföljning inom informations- och cybersäkerhet, exempelvis med stöd av ISO/IEC 27000-serien eller NIST-vägledningar.

Vilken typ av säkerhetsroll är det?

Annonsen beskriver en senior strategroll med tydlig tyngdpunkt i informationssäkerhet och cybersäkerhet, med koppling till IT-säkerhet, cybersäkerhetsarkitektur och operativ incidenthantering/CERT. Rollen är placerad i en funktion som arbetar med säkerhet och civil beredskap över hela hotskalan, och innehåller även moment som rör kontinuitet och hantering av större händelser.

Samtidigt framgår att tjänsten kan komma att säkerhetsklassas och att rollen ska förstå samspelet med säkerhetsskydd, vilket signalerar att regelefterlevnad, skyddsvärden och kravställning mot verksamhet och teknik är centrala delar av uppdraget.

Det här bör kandidater lyfta i ansökan

Utifrån VGR:s kravprofil och uppdragsbeskrivning kan det vara relevant att konkretisera:

Exempel på strategisk styrning inom informations- och cybersäkerhet: modeller, ramverk, principer, styrande dokument och hur du drivit förankring.
Erfarenhet av att leda/koordinera strategiskt arbete vid större cyberincidenter eller störningar, inklusive prioriteringar och beslutsunderlag under tidspress.
Hur du har kopplat ihop dataskydd, informationssäkerhet, cybersäkerhetsarkitektur, risk- och kontinuitet samt tekniska skyddsåtgärder i ett sammanhållet arbetssätt.
Exempel på konsekvensbedömningar, utredningar och kvalificerad handläggning som lett till beslut, investeringar eller förändrade arbetssätt.
Kommunikations- och rådgivningsinsatser mot ledning och beslutsfattare: hur du gjort komplexa risk- och säkerhetsfrågor begripliga.
Om relevant: erfarenhet från samhällsviktig verksamhet och beroenden som påverkar kontinuitet (i annonsen nämns särskilt hälso- och sjukvård som meriterande).

Annonsen betonar också personlig lämplighet, integritet i rådgivande roll och förmåga att samarbeta tvärfunktionellt utan att tappa tydlighet i krav och rekommendationer.

Så söker du tjänsten

Enligt annonsen vill Västra Götalandsregionen i första hand att du registrerar din ansökan via regionens rekryteringssystem. Om du har frågor om tjänsten, eller av särskilda skäl inte kan registrera uppgifter i ett offentligt system, anges att du ska kontakta kontaktperson för respektive annons.

Sista ansökningsdag framgår inte i annonsunderlaget.

Sammanfattningsvis pekar rekryteringen på ett växande behov av seniora strategiska roller som kan knyta ihop informationssäkerhet, cybersäkerhetsarkitektur, incidenthantering/CERT och civil beredskap i samhällsviktig verksamhet – och vid behov även kliva in som CISO.