Kunskaper

• informationssäkerhet i allmänhet och ledningssystem för informationssäkerhet (LIS) i synnerhet,
• legala aspekter vid outsourcing av digitaliserings- och IT-tjänster, såsom offentlighet och sekretess,
arkiv, informationssäkerhet, dataskydd, säkerhetsskydd, samhällsviktiga tjänster samt inköp och
upphandling,
• roller, ansvar och samverkan mellan olika funktioner vid outsourcing av digitaliserings- och ITtjänster,
• skillnader och likheter mellan inköp och upphandling inom privat respektive offentlig sektor, samt
• vedertagna och praktiska tillvägagångssätt för outsourcing av digitaliserings- och IT-tjänster.

Färdigheter

• inventera informationstillgångar samt klassificera information utifrån skyddsvärde och krav,
• genomföra verksamhets- och omvärldsanalyser, riskanalyser, konsekvensbedömningar och
gapanalyser för att identifiera säkerhetsåtgärder och anpassa kravställningen,
• tillämpa ett systematiskt informationssäkerhetsarbete vid outsourcing av digitaliserings- och ITtjänster,
• utforma behovsanpassad kravställning vid outsourcing av digitaliserings- och IT-tjänster,
• bedöma för- och nackdelar mellan egen drift och outsourcing, samt
• identifiera och tillämpa relevant lagstiftning utifrån aktuell behovs- och kravbild.

Kompetenser 

• analysera och formulera verksamhetens behov av digitaliserings- och IT-tjänster,
• omsätta ett systematiskt informationssäkerhetsarbete i praktiken vid outsourcing av IT-tjänster,
• självständigt leda och samordna organisationen genom hela outsourcingprocessen från
behovsanalys och kravställning till upphandling och avtalsteckning, samt
• identifiera och hantera behov av serviceavtal, kontinuitets- och avbrottsplaner samt fördelning av
personuppgiftsansvar.

KURSER

1. Systematiskt informationssäkerhetsarbete 10 yh-poäng
2. Legala förutsättningar 10 yh-poäng
3. Juridiken i praktiken 10 yh-poäng
4. Praktisk tillämpning 10 yh-poäng

Kursbeskrivning

1. Systematiskt informationssäkerhetsarbete (10p)

Den tekniska utvecklingen innebär både nya möjligheter och ökade krav på organisationers informationssäkerhet. En förändrad hotbild ställer krav på ett strukturerat och systematiskt informationssäkerhetsarbete. Denna delkurs ger de studerande en grundläggande förståelse för informationssäkerhet i allmänhet och för ledningssystem för informationssäkerhet (LIS) i synnerhet. LIS utgör ett centralt
stöd för styrning, uppföljning och förbättring av informationssäkerhetsarbetet i verksamheter.

Kursen utgår från Myndigheten för civilt försvars (tidigare MSB) metodstöd och behandlar hela processen för systematiskt
informationssäkerhetsarbete: att identifiera och analysera verksamhet, omvärld, risker och gap, att utforma organisation,
mål, styrdokument och handlingsplaner, att tillämpa dessa i praktiken samt att följa upp och förbättra arbetet genom utvärdering och ledningens genomgång.

Syftet med delkursen är att ge de studerande kompetens att analysera informationens skyddsvärde utifrån verksamhetens
behov och gällande lagkrav. Kursen ger förutsättningar att ställa relevanta krav vid outsourcing av IT-tjänster samt att
bedöma om befintliga lösningar uppfyller ställda informationssäkerhetskrav.

Kursen behandlar även roller och ansvar i outsourcingprocesser, såsom informationsägare, systemägare, informationssäkerhetssamordnare, IT-säkerhetssamordnare, dataskyddsombud, jurist, beställare, driftorganisation och
leverantörer, samt vikten av samverkan och tydlig kommunikation.

Grundläggande begrepp som informationstillgångar, konfidentialitet, riktighet, tillgänglighet och spårbarhet
behandlas. De studerande tränas även i att genomföra riskoch gapanalyser kopplat till informationssäkerhet vid
outsourcing av digitaliserings- och IT-tjänster.

Huvudmoment i kursen:
• Allmänt om informationssäkerhet
• Systematiskt informationssäkerhetsarbete
• Informationssäkerhetsanalyser

2. Legala förutsättningar (10p)

Denna delkurs ger de studerande en grundläggande förståelse för de legala krav och regelverk som aktualiseras vid
outsourcing av digitaliserings- och IT-tjänster. Kursen fokuserar på hur lagar, förordningar och andra krav påverkar
analys av informationens skyddsvärde, riskbedömningar samt kravställning inför inköp och upphandling.

De studerande får kännedom om centrala regelverk som är relevanta vid outsourcing, däribland offentlighets- och
sekretesslagen, arkivlagen, cybersäkerhetslagen, lagen om motståndskraft för kritiska verksamhetsutövare (CER),dataskyddsförordningen (GDPR), säkerhetsskyddslagen, krisberedskaps- och totalförsvarslagstiftning samt grundläggande upphandlingsrättsliga principer.

Kursen belyser hur dessa regelverk samverkar och i vissa fall överlappar varandra, samt hur de påverkar organisationers
ansvar vid hantering av information och digitala tjänster. Särskild vikt läggs vid förståelsen för vilka legala krav som
behöver beaktas tidigt i processen för att möjliggöra korrekt och ändamålsenlig kravställning i senare skeden.

Delkursen utgör en nödvändig grund för efterföljande kurser genom att skapa en gemensam förståelse för det juridiska
ramverket som styr outsourcing av digitaliserings- och IT-tjänster. Fokus ligger på att ge de studerande förutsättningar
att tolka och tillämpa regelverken i praktiken snarare än på detaljerad juridisk fördjupning.

Huvudmoment i kursen:
• Översikt av författningar och andra krav vid outsourcing
• Legala aspekter kopplade till informationsklassificering och
riskanalys samt identifiering av säkerhetsåtgärder
• Juridiska förutsättningar för inköp och upphandling av IT-tjänster

3. Juridiken i praktiken (10p)

Denna delkurs bygger vidare på de legala förutsättningar som behandlats i föregående kurs och fokuserar på den praktiska
tillämpningen av juridiska krav vid outsourcing av digitaliserings- och IT-tjänster. Kursen ger de studerande färdigheter i att identifiera, analysera och omsätta legala krav i konkret kravställning anpassad till den aktuella verksamheten.

Fokus ligger på att förstå hur olika regelverk aktualiseras beroende på vilken information som hanteras, hur informationsflöden ser ut och vilken typ av IT-tjänst som ska outsourcas. De studerande tränas i att bedöma vilka lagar och
krav som är tillämpliga i olika situationer, samt hur dessa påverkar val av lösning, ansvarsfördelning och avtal.

Kursen behandlar hur juridiska krav omsätts i praktiken genom exempelvis informationsklassificering, informationskartläggning, riskbedömningar och kravformuleringar gentemot leverantörer. Genom casebaserade moment får de studerande arbeta med
realistiska scenarier där juridiska avvägningar behöver göras utifrån både verksamhetsmässiga och legala förutsättningar.

Delkursen syftar till att stärka de studerandes förmåga att agera som ett stöd till verksamheten i outsourcingprocesser,
genom att säkerställa att juridiska krav hanteras korrekt, proportionerligt och i rätt skede.

4. Praktisk tillämpning (10p)

I denna avslutande delkurs integreras och tillämpas kunskaper och färdigheter från samtliga tidigare delkurser i ett
sammanhållet och verklighetsnära case. Fokus ligger på att omsätta systematiskt informationssäkerhetsarbete, juridiska
krav och verksamhetsanalys i praktisk hantering av outsourcing av digitaliserings- och IT-tjänster.

De studerande tilldelas en fiktiv eller verklighetsnära organisation och arbetar självständigt med att analysera verksamhetens behov, identifiera informations- och säkerhetskrav samt utforma en ändamålsenlig kravställning
inför outsourcing. Arbetet omfattar hela processen från behovsanalys och riskbedömning till kravställning och avtalsperspektiv.

Kursen innehåller även interaktiva moment där de studerande deltar i gemensamma, examinerande seminarier i realtid. Vid
dessa tillfällen presenteras och diskuteras lösningarna i grupp, med möjlighet till opponering, erfarenhetsutbyte och gemensam reflektion kring olika angreppssätt.

Efter avslutad kurs har de studerande förmåga att självständigt tillämpa utbildningens innehåll i praktiska outsourcingsammanhang
samt att motivera sina bedömningar utifrån verksamhetsbehov, regelverk och informationssäkerhetskrav.
Kursen utgör utbildningens sammanhållande slutexamination.

I utbildningens ledningsgrupp är personer från följande företag och organisationer representerade:

• Försvarsmakten
• Truecaller AB
• Stockholm stad
• Atea
• CGI Sverige AB
• AM Education
• Folkuniversitetet
• Företagsuniversitetet