Uppdragsbeskrivning

Nationalmuseum vill få en samlad bild av hur myndighetens it-säkerhet ser ut idag och vad som behöver prioriteras framöver. Under de senaste åren har vi infört flera nya system och digitala verktyg där roller och ansvar är fördelat över it-funktionen, verksamheten och externa leverantörer. Det finns därför ett behov av att låta en extern oberoende konsult gå igenom nuläget och göra en bedömning av de största riskerna och förbättringsbehoven. Nationalmuseums it-funktion består av tre medarbetare och ansvarar för den centrala it-miljön och förvaltar ett antal gemensamma tjänster. Server- och nätverksdrift hanteras främst av den upphandlade it-driftsleverantören Iver.

Den centrala it-miljön omfattar ca 290 Microsoft 365 E3-licenser, 5-10 Windows-servrar, 200 datorer med Windows eller macOS samt 200 mobila enheter med iOS eller iPadOS. Enheterna hanteras med Microsoft Intune och Jamf. Nätverket finns på ca 5-6 olika platser i Stockholmsområdet och omfattar ca 35 switchar och 235 accesspunkter. Nätverksutrustningen kommer huvudsakligen från Cisco och Fortinet. Säkerhetsenheten har en separat it-miljö som omfattar ca 20 Windows-servrar, 10 klientdatorer och 20 nätverksswitchar från Cisco. Även denna miljö ingår i uppdraget.

Myndighetens verksamhetssystem är främst SaaS-tjänster som förvaltas i samverkan mellan verksamheten, it-funktionen och respektive leverantör. System och digitala verktyg används inom hela myndigheten och stödjer bland annat samlingsförvaltning, bevarande, utställningsverksamhet, forskning, publik verksamhet, försäljning, kommunikation, ekonomi, HR, fastighetsfrågor och säkerhet. Nationalmuseum har en sammanställning som för närvarande omfattar ca 60 system och digitala tjänster. Systemen varierar i omfattning och komplexitet. Sammanställningen innehåller allt från centrala it-plattformar och verksamhetssystem till publika digitala tjänster och webbplatser. Exempel på centrala verksamhetssystem är systemen för samlingsförvaltning, bild- och mediehantering (DAM), webbpublicering (CMS), ärende- och dokumenthantering samt ekonomi.

Ramavtalsleverantör ska för detta uppdrag utse en huvudansvarig namngiven konsult i rollen IT-säkerhetsanalytiker för nivå 4 som uppfyller ställda krav

Huvudkonsulten ska hålla ihop uppdraget, delta aktivt i granskningsarbetet samt ansvara för den samlade riskbedömningen, rapporten och presentationen av resultatet. Huvudkonsulten ska även samordna eventuella specialisters arbete.

Ramavtalsleverantören kan erbjuda ytterligare namngivna konsulter med specialistkompetens, som stöd till huvudkonsulten, dessa konsulter ska minst ha kompetensnivå 3 och ha dokumenterad kompetens och erfarenhet av säkerhetsgranskning inom de områden som de ska arbeta med.

KOMPETENSNIVÅ

Nivå 3:

Kunskap – hög kompetens inom aktuell roll.
Erfarenhet – är en förebild för andra Konsulter på lägre nivå. Nivån uppnås normalt efter 4-8 års arbete inom aktuell roll.
Ledning – tar ansvar för delområde, kan leda en mindre grupp.
Självständighet – kan arbeta självständigt.

Nivå 4

Kunskap – hög generalistkompetens, eller mycket hög kompetens inom aktuell roll
Erfarenhet – har utfört komplexa uppdrag inom aktuell roll och genomför Konsulttjänst med mycket hög kvalitet. Nivån uppnås normalt tidigast efter 9–12 års arbete inom aktuell roll
Ledning – tar huvudansvar för ledning av större grupp
Självständighet – mycket stor

TID / OMFATTNING / PLACERING

Avtalet gäller från kontraktsecknandet till och med 2027-04-30.

Option: Om uppdraget inte är slutfört har Nationalmuseum rätt att förlänga avtalet i upp till ytterligare 6 månader.

Uppdraget genomförs både på distans och i Nationalmuseums lokaler i Stockholm. Konsulten ska kunna närvara fysiskt vid uppstart, relevanta intervjuer och workshops samt vid presentation av resultatet. Närmare planering görs i dialog med Nationalmuseum

REFERENSUPPDRAG

Anbudsgivaren ska redovisa två jämförbara referensuppdrag som den erbjudna huvudkonsulten har genomfört under de senaste fem åren. För varje uppdrag ska innehåll, omfattning, tidsperiod, konsultens roll och resultat anges. Kontaktuppgifter till en referensperson ska lämnas på begäran.

GENOMFÖRANDEBESKRIVNING

Anbudsgivaren ska bifoga en genomförandebeskrivning av hur uppdraget avses genomföras

Beskrivningen ska omfatta:

• Föreslagen metod för nulägesanalysen, inklusive hur tekniska kontroller ska genomföras.
• Upplägg för intervjuer, workshops och övrig informationsinsamling.
• Hur förankring och samverkan mellan verksamheten, it-funktionen, säkerhetsenheten och externa leverantörer säkerställs.
• Hur rekommendationer, prioriteringar och en åtgärdsplan tas fram.
• Identifierade risker i uppdraget samt föreslagna åtgärder för att hantera dessa.
• Uppskattad tidplan med huvudaktiviteter
• Uppskattat antal konsulttimmar per huvudaktivitet och kompetensnivå

Om mer än 1 konsult offereras (team), planerad arbetsfördelning samt hur huvudkonsulten ska samordna arbetet och kvalitetssäkra det samlade resultatet.

INTERVJU

Efter utvärdering av skriftligt anbud (Uppdragsförståelse och genomförandebeskrivning samt Anbudspris) kommer de två (2) anbudsgivare som har lägst utvärderingssumma att bjudas in till presentation och intervju. Vid behov kan ytterligare anbudsgivare bjudas in till presentation och intervju.

Presentation och intervju ska genomföras av den eller de konsulter som föreslås genomföra uppdraget.

Nationalmuseum kommer särskilt att bedöma:
a) Konsulternas erfarenhet av att genomföra jämförbara uppdrag avseende säkerhetsgranskningar i liknande it-miljöer.
b) Konsulternas förmåga att omsätta tidigare erfarenheter till konkreta aktiviteter och rekommendationer för Nationalmuseums verksamhet.
c) Konsulternas förståelse för uppdragets syfte, utmaningar och kritiska framgångsfaktorer.
d) Huvudkonsultens förmåga att förklara tekniska risker och rekommendationer på ett tydligt sätt för myndighetens ledning.
e) Huvudkonsultens förmåga att hålla ihop granskningen och omsätta resultaten i en sammanhängande analys och åtgärdsplan.