Specialist Dataskydd/Säkerhet

I rollen som *'Koncernansvarig Dataskyddsexpert' har Camilla det övergripande ansvaret för att leda och samordna koncernens dataskyddsarbete, vilket omfattar bland annat följande (se exempel nedan): 

● Analys och rådgivning till de olika koncernbolagens utveckling av tjänster för till exempel; kundlojalitetsprogram för kundklubbar avseende hantering av dataskydd och informationssäkerhet utifrån juridiska, affärsmässiga och tekniska aspekter för lansering av nya tjänstelösningar till olika kundsegment (kund-butik-marknad).
● Att ha det övergripande ansvaret för att leda och samordna koncernens dataskyddsarbete samt driva det interna dataskyddsarbetet.
● Leda den virtuella dataskyddsorganisationen.
● Stödja verksamheten med råd i dataskyddsfrågor, genomförande av konsekvensbedömningar, revisioner och stödja kritiska projekt i dataskyddsfrågor.
● Utöva aktiv omvärldsbevakning (till exempel gällande förändring och tolkning av gällande lagstiftningar, tillsynsarbetet/aktuella tillsyner/utfärdade sanktionsavgifter av Sveriges tillsynsmyndighet för dataskydd (IMY) samt dess europeiska motsvarigheter) inom säkerhetsområdet gällande GDPR och motsvarande för andra gällande och kommande förändringar av dataskydds- och informationssäkerhetslagstiftningar.
● Utbilda och medvetandegöra organisationen i dataskydd.
● Stödja affärsverksamheten i att svara på dataskyddsfrågor som kommer från både kunder och medarbetare.
● Följa upp koncernens interna arbete och ha löpande kontakt med koncernens Dataskyddsombud (DSO GDPR).
● Ta fram policys och riktlinjer för koncernen.

*Rapportering har skett till koncernens CISO/Informationssäkerhetschef.

Dataskydd- och informationssäkerhet, Rederikoncern/sjöfart, Stena Rederi AB, Sverige och internationellt 2021 - 2022 Camilla är rådgivande och arbetade med att leda ett uppdrag inom nätverkssegmentering av fartygens operativa system (till exempel navigation och maskin) för koncernens olika bolags sjöfart ombord på fartyg (omfattning är ett fyrtiotal fartyg för passagerar- och frakttrafik) inom en rederikoncern globalt.

Uppdragets syfte är uppfylla internationell och nationell marin lagstiftning inom cybersäkerhet och informationssäkerhet (till exempel IMO - fokus på marina cybersäkerhetskrav och NIS-direktivet för informationssäkerhet för transportsektorn (sjöfart)). Uppdraget omfattade alltifrån analys av tillämpliga lagstiftningar, enterprise architecture, lösningsarkitektur, nätverksarkitektur, pilotstudier för implementation och integration, aktiviteter ombord på fartygen (till exempel runt den Irländska sjön, som Irland (EU), Wales (U.K), Nordirland (U.K), Skottland (U.K)) tillsammans med befälhavare och besättning, inköp och förvaltningsplanering samt kontinuerlig risk- och konsekvensbedömning (GRC), IAM-analyser, MSBFS och CIS Top20/18.

Sverige och internationellt 2022, Göteborg.

Camilla har varit rådgivande och ansvarat för GDPR-frågor om compliance/data privacy (till exempel DPIA/PIA/TIA) men också med andra dataskyddslagstiftningar (till exempel vid IT-upphandlingar som stöd till inköp/sourcing-funktionen (till exempel ServiceNow) för rederikoncernens centrala IT-affärsområde, som har hela koncernen som kunder, ca. 500+ bolag).

Camilla drev analys- och genomförande av aktiviteter efter Red Team övningar, där hon arbetat med säkerhetsåtgärder. Det kan ha handlat om cybersäkerhet, men också fysisk säkerhet, till exempel åtkomst till olika lokaler.

Camillas ansvarsområde omfattade också koncernens IT-affärsområdes internkontroll av säkerhet avseende efterlevnad av krav som ställs av koncernen i form av ISO policys, riktlinjer, revisioner och arbetsprocesser beroende på legala krav på säkerhetsområdet kopplat till koncernens Corporate Governance i samarbete med koncernens CISO och Compliance Manager för dataskydd och säkerhet) samt standarder, som till exempel ISO27001, SOC, IKT (kontinuerlig risk- och konsekvensbedömning, till exempel med GRC-verktyg, som Stratsys), IAM-analyser, MSBFS och CIS Top20/18 . (kontinuerlig risk- och konsekvensbedömning, till exempel med GRC-verktyg, som Stratsys), IAM-analyser.

Stockholm 2020 - 2021 Camilla ledde och gav stöd till kundens förändringsarbete beroende på uppdragets syfte och omfattning i form av förberedelser, införande och förvaltning av dataskyddsfrågor enligt lagstiftningarna: EU- lagstiftning NIS- direktivet (till exempel kommunal förändringsanpassning för informationssäkerhet med fokus på hälsa, vård och omsorg), GDPR, säkerhetsskyddslagen och även samexistens som till exempel; offentlighets- och sekretesslagen, förvaltningsrätt, patientdatalagen, IT-rätt, avtalsrätt, immaterialrätt. Samarbete med CISO. MSBFS och CIS Top20/18. Uppdraget innefattar exempelvis att utarbeta: 

• Rådgivning och stöd i kontinuerligt strategiskt och operativt dataskydds- och informationssäkerhetsarbete 

• Policys, riktlinjer, rutiner, dokumentation (ex. incidenthantering/rapportering vid personuppgiftsincidenter) 

• Registerutdrag (stöd framtagande, som utformning om vilken information som måste finnas med till den/de registrerade) 

• Stöd vid revisioner 

• Tredjelandsöverföringar/personuppgiftsbehandling/ Schrems (GDPR) 

• framtagande och införande av metoder (ex. LIS, ledningssystem för informationssäkerhet, ISO- standarder) 

• Utveckling av metoder och processer 

• Ta fram och stödja införandet av infrastruktur och arkitektur för affär/verksamhet och tekniskt för IT-system 

• Data Privacy 

• GAP-analyser 

• LIS (NIST-ramverk) 

• MSBFS och CIS Top20/18 

• IT-rätt, Immaterialrätt, förvaltningsrätt.
• Stöd till kund vid identifiering och analys av informationstillgångar som senare ska säkerhetsklassificeras utifrån sitt innehåll 

• Rådgivning, analys av analysverktyg, som till exempel Google Analytics - Netigate (enkätverktyg) - Multinet (sökmotor) - Meltwater (utskick av pressmeddelanden) - Umbraco (webbportal/webbsidor) - Polldaddy (enkätverktyg) - EPiServer - Multinet - Survey Monkey (enkätverktyg)), webbsidor/portaler till exempel cookiehantering etc 

• Risk- och konsekvensbedömningar och sårbarhetsanalyser i alla steg i processen för affär/verksamhet och IT (teknik) - DPIA/PIA/TIA 

• Registerutdrag 

• Stöd i kontinuitetsplanering 

• Stöd i validering och av tekniska åtgärder för uppfyllnad av lagstiftningar och stöd i kompetensutveckling till ledning och medarbetare  

Ref. 5 - Dataskydds- och informationssäkerhetsspecialist - Dataskyddsombud (DSO), Ansvarig för informationssäkerhetsledning/ informationsklassning, Senior Projektledare (GDPR), offentlig sektor, Stockholm. 2018.

Att leda arbete med att införa och följa upp implementationen av den nya lagen; GDPR samt att vara ansvarig för informationssäkerhetsledning/informationssäkerhetsklassning enligt *MSB/NIS- direktivet och Dataskyddsombud hos kund inom offentlig sektor. Dataskyddsombud/DSO: Den övergripande och viktigaste uppgiften för dataskyddsombudet är att övervaka att organisationen följer dataskyddsförordningen (GDPR). DSO-rollen omfattar till exempel följande uppgifter: 

• Bidra med kunskap om dataskyddslagstiftning på nationell nivå och EU-nivå samt att även bidra med fördjupade kunskaper om den allmänna dataskyddsförordningen. Samarbete med CISO.
• Ge stöd i affärsjuridisk kartläggning/analys, avtalsgenomgång för justeringar och ändringar i befintliga avtal samt inför upprättade av nya avtal.
• Samla in information om hur organisationen behandlar personuppgifter.
• Kontrollera att organisationen uppfyller de lagkrav som ställs enligt den nya dataskyddsförordningen, GDPR internt och externt emot svenska medborgare enligt bestämmelser för styrdokument.
• Registerutdrag (stöd framtagande, som utformning om vilken information som måste finnas med till den/de registrerade) Ge råd, informera och revidera organisationen samt rapportera brister i organisationens uppfyllnad av GDPR enligt lagen till högsta förvaltningsledning för utredning och åtgärd.
• Utredning och analys för upprättande av ex. biträdesavtal, sekretessåtagande (medarbetare, konsulter) och sekretessavtal för externa leverantörer, stöd till HR-ledning för revidering av anställningsavtal och för LOU-upphandling samt andra juridiska instrument.
• Data Privacy 

• Utredning och analys av verksamhet och IT-system för tredjelandsöverföringar för personuppgiftbehandling. 

• Bistå organisationens högsta förvaltningsledning i utredning (konsekvensbedömning och riskanalys/DPIA/PIA) och rådgivning av en uppkommen personuppgiftsincident för vidare rapportering och bistående till Datainspektionen (tillsynsmyndigheten) vid en utredning av ärendet. 

Ansvarig för informationssäkerhetsledning/ informationssäkerhetsklassning enligt * MSB/NIS- direktivet 

• LIS (NIST-ramverk) 

• MSBFS och CIS Top20/18 

• Rådgivning till förvaltningsledare i det dagliga arbetet (PM3- förvaltningsmodell). Drev projekt, där projektgruppen bestod av förvaltningsledare ifrån organisationen.

2000 - 2005 Telekom, flygradarsystem och radiokommunikationssystem för det svenska flygvapnet (militärt).

Säkerhet, informationssäkerhet. Utvecklingsprojekt inom Sverige och utomlands. Standarder ISO9000. IAM- analyser kopplat till specifika projektuppdrag.

Camilla har det övergripande ansvaret för att leda och driva olika uppdrag inom dataskydd- och informationssäkerhet på uppdrag av ICA Sverige AB. 

Uppdraget innehåller nedan exempelområden:

• Analys, rådgivning och samarbete med ICA Gruppens bolag, som till exempel; ICA Bank, ICA •Försäkring, Apoteket Hjärtat och ICA Reklam gällande dataskydd- och informationssäkerhetsfrågor

GAP-analyser av informationstillgångar (IKT, information asset management), Riskanalys/hantering kopplat till Dora-förordningen.

• Rådgivning, stöd i arbetsrättsliga frågor i förhållande till dataskyddsjuridik.

• Utveckling av tjänster för till exempel; kundlojalitetsprogram för kundklubbar avseende hantering av dataskydd och informationssäkerhet utifrån juridiska, affärsmässiga och tekniska aspekter för lansering av nya tjänstelösningar till olika kundsegment (kund-butik-marknad). 
•AI chatbot-tjänstelösningar för till exempel kundvägledning för ICA-butiker och andra lösningar för vägledning i HR-frågor till butiksmedarbetare.
•Marknadsanalys/test/web sites med systemet VWO.
•ISO-standarder till exempel; 27 001/27 002.

• Stödja verksamheten med råd i dataskyddsfrågor, genomförande av risk- och konsekvensbedömningar, incidenthanteringsstöd till alla koncernbolag, stödja kritiska projekt i dataskyddsfrågor. Även att avråda att använda tekniska lösningar i affärsverksamheten som strider emot en lagstiftning, till exempel GDPR i förhållande till arbetsrätten.

• Stöd i upphandling av tekniska systemstöd för tjänstelösningar till fristående ICA-handlare inom till exempel E-handel.

• GAP-analyser av informationstillgångar (IKT, information asset management), Riskhantering och incidenthantering i ett komplext leverantörsklimat (många olika typer av intressenter).

• NIS/NIS2 – analyser, GAP-analyser, riskanalys, ledningssystem (LIS/ledningssystem för informationssäkerhet).

• Utöva aktiv omvärldsbevakning (till exempel gällande förändring och tolkning av gällande lagstiftningar, tillsynsarbetet/aktuella tillsyner/utfärdade sanktionsavgifter av Sveriges tillsynsmyndighet för dataskydd (IMY) samt dess europeiska motsvarigheter) inom säkerhetsområdet gällande GDPR och motsvarande för andra gällande och kommande förändringar av dataskydds- och informationssäkerhetslagstiftningar.

• Utbilda och medvetandegöra organisationen i dataskydd.

• Stödja affärsverksamheten i att svara på dataskyddsfrågor som kommer från både kunder och medarbetare.

• Följa upp ICA Sveriges interna arbete och ha löpande kontakt med Dataskyddsombud (DSO GDPR).

*Rapportering till ICA Sveriges CISO/Informationssäkerhetschef.

Camilla har det övergripande ansvaret för att rådgivning, leda och driva bolagets inom dataskydd- och säkerhet (Kamerabevakning (CCTV), Informationssäkerhet, Passage (system och fysiskt skalskydd)) och Behörighetsstyrning.

Uppdraget innehåller nedan exempelområden:

• Analys och rådgivning inom Kamerabevakning (CCTV) av fastigheternas inom- och utomhusmiljö (köpcentrum, kontor, garage, parkering med flera platser) och samarbete med Polisen och Försäkringsbolag vid brottsutredningar bolag.

•GAP-analyser av informationstillgångar (IKT, information asset management), Riskanalyser (prioritering och hantering).

• Ta fram företagspolicy för säkerhet, riktlinjer för Kamerabevakning med stöd av GDPR, Kamerabevakningslagen (KbL), Brottsdataförordningen och Brottsdatalagen samt Säkerhetsskyddslagen för verksamheter, där hyresgäst är en bank eller brottsbekämpande myndighet.

• Rådgivning, stöd i arbetsrättsliga frågor i förhållande till dataskyddsjuridik, hålla utbildning och workshops vid genomförande av riskanalys och konsekvensbedömningar med tillhörande tekniska underlag/specifikationer av HW/SW och framtagande av statistiska underlag över brott med brottskod från Polismyndigheten och väktarbolags rapportering (exempelvis ordningsvakter) samt kontinuerlig uppföljning av vidtagna åtgärders effekt (kamerabevakning/CCTV)) vid brottsbekämpning.

• Rådgivning vid upphandling av IT-system/verktyg för personuppgiftsbehandling och dokumentation för affärsverksamhet och IT (Dataskydd- och informationssäkerhet), kommersiella affärsavtal och biträdesavtal (GDPR).

• Incidenthantering (GDPR och säkerhet).
• Behörighetsstyrning (GDPR, Kamerabevakning och säkerhet).

*Rapportering till Bolagets Säkerhetschef