ITC söker en konsult som gör bedömning av Microsoft och dess molntjänster till Umeå Kommun

Roll:<br />Konsult som gör bedömning av Microsoft och dess molntjänster<br /><br />Bakgrund och syfte<br />Offentliga verksamheter står inför ökade krav på digitalisering och informationssäkerhet. För att säkerställa efterlevnad av lagstiftning samt upprätthålla sekretess och informationssäkerhet krävs en omfattande utredning av leverantören Microsoft och deras molnbaserade tjänster och produkter.<br />Upphandling syftar till att anlita konsultstöd för att genomföra en omfattande utredning och i linje med krav och principer som används av myndigheter, exempelvis Skatteverkets riskbedömning – se bilaga.<br /><br />Omfattning<br />Uppdraget är uppdelat i två delar. Första delen fokuserat på Microsoft som leverantör. Andra delen, med option, fokuserar på molnbaserade tjänster från Microsoft:<br />Del 1: Bedömning av om Microsoft som leverantör kan uppfylla kraven i artikel 28 GDPR (med beaktande av bl.a. CLOUD Act och Microsofts insamlande av kundens uppgifter/information för eget bruk) samt möjligheten för kommunen att lagligt hantera information som omfattas av sekretess enligt offentlighets- och sekretesslagen (OSL) i Microsofts tjänster. Inklusive analys av deras förmåga att uppfylla andra regulatoriska krav t ex i GDPR och OSL<br />Del 2: Bedömning av Microsofts molnbaserade tjänster med fokus på förutsättningar och risker avseende informationssäkerhet, IT-säkerhet, dataskydd och sekretess. Utgår från en från kommunen prioriterad lista över aktuella molntjänster. Prioriteringsgrunder kan t ex vara beroenden för att kunna riskbedöma eller tjänster som används av många. Kan komma att justeras.<br />Aktuella molntjänster kan t ex vara M365 for Apps (Office), Entra, Teams, Sharepoint, Copilot, Azure, Fabric, OneDrive, Defender och Purview – men kan komma att justeras utifrån prioriteringar. Även andra molntjänster från andra leverantörer kan vara aktuellt.<br />Vi har uppskattar att uppdraget till 200-400 timmar <br /><br />Mål och leveranser<br />Konsulten ska leverera följande:<br />Rapport eller PM: Dokumenterad, beskrivande bedömning som inkluderar:<br />Redovisa hur eller om Microsoft uppfyller kraven i art. 28 GDPR och om kommunen lagligt kan hantera sekretesskyddad information i Microsofts tjänster med nuvarande tekniska och avtalsmässiga lösning.<br />Identifierade risker (ska inkludera risker kopplade till informationssäkerhet, IT-säkerhet, dataskydd och sekretess).<br />Bedömning av identifierade risker enligt ovan <br />Förslag på åtgärder och rekommendationer för att minska eller åtgärda riskerna.<br />I paritet med Skatteverkets bedömning, se bilaga.<br />• Workshop: Presentation av resultaten för relevanta intressenter<br />• Material för fortsatt arbete: Utbildning och material så att kommunen efter genomfört uppdrag på egen hand kan genomföra ytterligare riskbedömningar av andra molntjänster och produkter.<br /><br />Krav på leverantören<br />• Dokumenterad erfarenhet av liknande riskbedömningar för offentliga verksamheter eller stora organisationer<br />• Expertis inom områden som:<br />o Informationssäkerhet och IT-säkerhet (nivå 3-4)<br />o Juridisk expertis inom IT-lagstiftning (t ex OSL och GDPR) (nivå 3-4)<br />o Molnbaserade tjänster och tekniker <br />• Förmåga att analysera och kommunicera komplex information på ett tydligt och begripligt sätt med olika typer av intressenter<br /><br />Metodik<br />Konsulten förväntas använda en riskanalysmetodik anpassad för offentlig sektor och följer etablerade standarder.<br /><br />Tidsplan<br />Avtalstid: 12 månader med option om förlängning 12 månader<br />• Startdatum: 2025-01-20<br />• Slutdatum: 2026-01-20<br />Målsättning: Vi ska vara klara med del 1 under kvartal 1 och kunna delleverera, utifrån från kommunen satta prioriteringar, i del 2 innan sommaren 2025.<br />• Workshops och presentationer: Planeras i samråd med uppdragsgivaren<br /><br /><br />Krav på anbud<br />Anbudsgivare ska inkludera:<br />• Referensprojekt från liknande uppdrag, inkluderat kompetens och resurser<br />• Beskrivning av tillvägagångssätt och föreslagen metodik<br />• Prissättning och timpris för konsulttjänster<br />• CV och kompetensbeskrivningar för föreslagna konsulter<br />Samma timpris ska gälla om optionen/optionerna löser ut