Säkerhetsexpert och Konsult inom NIS2, Cybersäkerhet & Security by Design

Uppdragen anpassas efter er situation. Det här är de vanligaste uppläggen:

• Gapanalys mot cybersäkerhetslagen. Ulf kartlägger er verksamhet och era samhällsviktiga tjänster, bedömer nuläget mot lagens krav och tar fram en riskprioriterad handlingsplan.
• Utbildning för ledningen. Lagen gör ledningen ansvarig. Ulf går igenom vad lagen kräver, vilka beslut som ligger hos ledningen och hur arbetet följs upp.
• Riskanalys och säkerhetskrav. Från verksamhetens värdeströmmar till konkreta säkerhetskrav på system och leverantörer, spårbart till ISO 27001 och 27002.
• Safety & Security by Design. För er som utvecklar eller upphandlar system och träffas av t ex NIS2 eller CRA: en process där säkerhetskraven tas fram ur modeller och samlas i ett safety case som visar att systemet är säkert.

Som flygsäkerhetsansvarig på FMV och krigsplacerad Viggenpilot har Ulf lärt sig hur operativ och teknisk säkerhet byggs. Han har sedan arbetat med kvalitetssystem och regelverk inom flyg, järnväg, försäkring och bank. En lärdom är att säkerhetskultur avgör lika mycket i cybersäkerhet som i flygsäkerhet, cybersäkerhetslagen betonar just organisationens förmåga att skapa säkerhet.

Ulf har djup kunskap i hur man bygger bevisat säkra system. Han har varit metodchef för utveckling av signalsystem för järnväg och teknisk projektledare när signalsystem anpassades till svenska regelverk, enligt standarder som IEC 61508 och EN 50128/50129. Samma synsätt tillämpar han nu på cybersäkerhet i samhällsviktiga tjänster, se Safety & Security by Design längre ned.

Ulf har djup kunskap om cybersäkerhetslagen, NIS2:s genomförandeförordning, ISO 27001 och IEC 61508. I projektet Modelldriven cybersäkerhet genom design, finansierat av NCC-SE vid dåvarande MSB, har han tagit fram en metod för Safety & Security by Design. NIS2 ställer krav på både operativ cybersäkerhet och säker utveckling, och där passar hans erfarenhet av båda. För Ulf handlar lagen inte bara om informationssäkerhet utan om funktionell säkerhet: att samhällsviktiga tjänster ska fungera.

Som konsult informationssäkerhet har Ulf arbetat som arkitekt vid utveckling av försvarets system för ledning. Han har gjort säkerhetsaudit avseende informationssäkerhet för system inom vården, arbetat med automatisering av sårbarhetsskanning och effektivisering av IAM-frågor. Dessutom har Ulf mycket god kunskap om informationssäkerhet enligt ISO 27000. Ni kommer inte hitta en expert på brandväggar och tekniska detaljer. Som konsult informationssäkerhet kan Ulf leda, kravställa och modellera informationssäkerhet, det är han expert på.

Ulf har haft flera roller inom försäkring. Han analyserade externa regelverk (t ex Solvens AML, IDD) och interna regelverk (Som policys och anvisningar) sammanställa ledningens behov, brister i interna regler och åtgärder för att effektivisera regelefterlevnad. Ulf arbetat med  försäkringsbolags processer relaterat till regelverk och kontroller, kompetens och behörighet. Ulf har arbetat med regelverken inom hållbarhet, Disclosure- och Taxonomiförordningen. Här har han analyserat processer för fonddata gjort konkurrentanalys avseende compliance.

Ulf kan ramverk som t ex UML, BPMN, SysML, TOGAF och Archimate (certifierad inom Archimate). Han är bra på att omvandla modeller till dokument som t ex kan behövas för t ex regulatoriska krav. Ulf är van att kombinera metoder för projektledning, kravhantering, riskhantering, incidenthantering, utveckling och certifiering, Ulf har leveransen i fokus och tycker om agil metodik som SAFe och SCRUM (Ulf är certifierad inom SAFe).

• Expert NIS2-införande hos nordisk operatör av laddinfrastruktur. Uppgiften var att säkra laddinfrastrukturen enligt NIS2. Ulf kartlade verksamhetsarkitekturen, gjorde riskanalyser, tog fram en strategi för säkerhetsåtgärder och utbildade ledningen. Resultatet blev en utbildad ledning och en riskprioriterad roadmap för att uppfylla NIS2.
• Expert på cybersäkerhetslagen / NIS2 och hur den implementeras i organisationen. Projektet "Modelldriven cybersäkerhet genom design" beskriver metod och modell för analys och dokumentation av design och säkerhetsåtgärder enligt cybersäkerhetslagen. Ulf tog fram en process spårbar till ISO 27001 / 27002, NIS2 genomförandeförordning samt IEC 61508, Effektmålet är att utifrån modell kunna generera systemsäkerhetskrav och ett "safety case". Projektet har givit Ulf en mycket god grund som konsult inom NIS2 och cybersäkerhetslagen
• Verksamhetsarkitekt hos livförsäkringsbolag. Ulf analyserade externa och interna regelverk, intervjuade bolagets ledningsgrupp och sammanställde behov, brister och åtgärdslista för att effektivisera dokumentationsarbetet.
• Verksamhetsarkitekt inom banks försäkringsverksamhet. Ulf dokumenterade verksamhetens processer syftende till att visa efterlevnad av kravställande regelverk inom livförsäkring. 
• Projektledare automatiserad penetrationstest. Projekt syftande till att automatisera processen för att skanna sårbarheter i it-systemen samt process ärendehantera åtgärder mot dessa hot.
• Audit av projekt journalhantering radiologi. I arbetet har Ulf tillsammans med experter inom informationssäkerhet, juridik och radiologi spårat tekniska lösningar mot regelverk och leverantörsavtal och utvärderat dessa relativt kraven i PUL och patientdatalagen avtalskrav avseende informationssäkerhet. Stor vikt lades på att hjälpa experter på informationssäkerhet att förklara tekniska problem för management och jurister.
• Arkitekt för ledningssystem inom försvarsmakten med höga krav inom informationssäkerhet.
• Projektledare utveckling av ställverk. Styrning av tåg med mycket höga krav på säkerhet. Stor vikt låg på att bevisat följa säkerhetsstandarder varför framtagande av projektplaner, säkerhetsplaner, hazardanalyser och safetycase var mycket viktiga.
• Ledare för en grupp specialiserad på metodik för och systemledning av signalsystem, säkerhetskritiska styrsystem för järnväg. Ett signalsystem är ett komplext system där produkter som t ex trafikledningssystem, ställverk, växlar och lokdatorer ingår. Hur man utvecklar bevisat säkra järnvägssystem är i fokus varför metodiken innehållande riskanalys/riskhantering, konfigurationshantering, validering/verifiering m m ingår.
• Chef för flygsäkerhetskontoret på FMV, en specialist och kvalitetsgrupp inom militär flygverksamhet. Gruppen hanterade såväl flygplan som säkerhetspåverkande marksystem (IT-stöd, underhållsmateriel m m) och processerna runt dessa på verkstäder och flottiljer.
• Ansvarig för Viggensystemet vid FMV:s flygsäkerhetskontor vilket innefattade flygsäkerhetsanalys vid materieländringar och operativa problem samt uppföljning och analys av verksamheten på förband och verkstäder.
• Pilot på Viggendivision, ett arbete som innebär allt från planering och efterarbete på marken till det direkt sekundoperativa arbetet i luften. Arbetet är ett teamarbete där man lär sig samarbeta och leda en verksamhet med mycket höga säkerhetskritiska krav och utmaningar.