Evaluación de riesgos de seguridad de la información del mundo real basada en el día cero de Oracle E-Business Suite (CVE-2025-61882). Analiza métodos de atacantes, riesgos empresariales y estrategias de mitigación utilizando ISO 27001, NIST CSF, Cyber Essentials y COBIT.

Esta tarea aborda desafíos críticos en el despliegue de sistemas de vigilancia biométrica de alto riesgo mientras se mantiene el cumplimiento con el RGPD del Reino Unido, se implementan controles de seguridad en capas y se establecen capacidades sólidas de respuesta a incidentes.

Alcance del Sistema

Componentes de la Solución Propuesta:

1. Red de CCTV: Infraestructura de vigilancia por video
2. Tecnología de Reconocimiento Facial (FRT): Sistema de identificación biométrica
3. Rastreo de Contactos Centralizado: Base de datos para rastrear interacciones

Desafíos Clave:

• Riesgos de privacidad de alto impacto (datos biométricos de categoría especial)
• Entorno operativo con recursos limitados
• Panorama regulatorio complejo (Artículo 25 del RGPD del Reino Unido, guía de la ICO)
• Requisitos de garantía de seguridad multiventor

Objetivos de Investigación

1. Operacionalizar la Protección de Datos por Diseño y por Defecto (Artículo 25 del RGPD del Reino Unido)
2. Mapear marcos de seguridad a los requisitos de cumplimiento del RGPD
3. Diseñar controles de seguridad en capas para sistemas de vigilancia de alto riesgo
4. Desarrollar procedimientos de respuesta a incidentes alineados con NIST SP 800-61 e ISO 27035
5. Analizar una brecha real (Oracle EBS CVE-2025-61882) para extraer lecciones defensivas

Capítulo 1: Cumplimiento de Protección de Datos

Protección de Datos por Diseño y por Defecto (DPbD)

Principio Central (Artículo 25 del RGPD del Reino Unido)

La Protección de Datos por Diseño y por Defecto debe tratarse como un requisito de ingeniería y gobernanza, no como un "complemento de cumplimiento". Para sistemas que combinan CCTV, FRT y rastreo de contactos centralizado, DPbD debe ser:

• Incorporada desde la etapa de requisitos hasta el despliegue y la operación
• Mantenida a través de un SDLC consciente de la privacidad con "puertas" definidas
• Evidenciada mediante controles comprobables y artefactos de auditoría

Marco de Implementación de DPbD

Ciclo de Vida de Desarrollo Seguro Consciente de la Privacidad (SDLC)

Mecanismos Clave de DPbD

1. Por Diseño (Integrar en todo el procesamiento)

• Requisitos de privacidad como requisitos no funcionales (NFR)
• Modelado de amenazas + casos de mal uso de privacidad
• "Puertas de privacidad" del SDLC con puntos de control de aprobación

2. Por Defecto (Solo datos necesarios)

• Campos mínimos en la base de datos de rastreo
• Roles con privilegio mínimo
• Retención más corta como línea base
• Control de cambios para expansión del alcance

3. Minimización de Datos

• Zonificación de cámaras y enmascaramiento de privacidad
• Evitar identificación siempre activa (usar detección/conteo cuando sea posible)
• Recopilar solo atributos esenciales de rastreo

4. Limitación de Propósito y Antideriva Funcional

• Controles de acceso vinculados a propósitos con etiquetas de caso de uso
• Restricciones de consultas
• Flujo de trabajo de aprobación para nuevos propósitos
• Cláusulas contractuales con proveedores que impidan uso secundario

5. Seudonimización y PETs

• Tokenización/IDs seudónimos para rastreo de contactos
• Bases de datos divididas (identificadores vs. eventos de exposición)
• Claves de unión protegidas en KMS/HSM
• Regla de dos personas para reidentificación

6. Transparencia y Control del Usuario

• Avisos de privacidad en capas (códigos QR, señalización, avisos en la aplicación)
• Flujo de trabajo de DSAR
• Plan de comunicación claro

7. Limitación de Acceso (Privilegio Mínimo)

• Control de Acceso Basado en Roles (RBAC)
• Autenticación Multifactor (MFA) para roles privilegiados
• Gestión de Acceso Privilegiado (PAM)
• Revisiones de acceso trimestrales

8. Integridad y Confidencialidad

• Cifrado en tránsito/en reposo
• Puerta de enlace API segura
• Segmentación de red
• Detección y Respuesta de Endpoints (EDR)
• Registros de auditoría inmutables

9. Limitación de Almacenamiento

• Cumplimiento automatizado de retención
• Flujos de trabajo de eliminación
• Borrado criptográfico de claves
• Registros WORM para pistas de auditoría

10. EIPD como Control Vivo

• Completado temprano en el ciclo de vida
• Revisado en cambios del sistema
• Mantenimiento del registro de riesgos
• Seguimiento de mitigaciones

Análisis Comparativo de Marcos

Visión General

El RGPD del Reino Unido está basado en principios, requiriendo que las organizaciones demuestren:

• Procesamiento lícito, justo y transparente
• Limitación de propósito
• Minimización de datos
• Exactitud
• Limitación de almacenamiento
• Integridad y confidencialidad
• Responsabilidad proactiva

Los marcos de seguridad y gobernanza ayudan a convertir las obligaciones de alto nivel del RGPD en controles accionables, pero no reemplazan el cumplimiento del RGPD.

Mapeo de Marcos a Principios del RGPD

Fortalezas de los Marcos y Mejor Uso

ISO/IEC 27001

• Valor Principal: Sistema de Gestión de Seguridad de la Información (SGSI)
• Ideal Para: Gobernanza de seguridad a nivel organizacional, tratamiento de riesgos, preparación para auditorías
• Contribución Clave: 93 controles del Anexo A que cubren control de acceso, criptografía, seguridad del proveedor, registro, gestión de incidentes
• Soporte al RGPD: Fuerte para integridad/confidencialidad, responsabilidad proactiva, limitación de almacenamiento

Cyber Essentials

• Valor Principal: Estándar de higiene técnica de línea base
• Ideal Para: Protección contra ataques comunes por internet
• Contribución Clave: 5 controles centrales (cortafuegos, configuración segura, parches, control de acceso, protección contra malware)
• Soporte al RGPD: Fuerte para seguridad de línea base, limitado para obligaciones de privacidad de nivel superior
• Posicionamiento: "Barra mínima" dentro de un modelo de gobernanza más amplio

NIST CSF 2.0

• Valor Principal: Estructura operativa de seguridad
• Ideal Para: Resultados de seguridad del día a día y mejoras de madurez
• Contribución Clave: 6 funciones centrales (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar)
• Soporte al RGPD: Fuerte para integridad/confidencialidad, la función "Gobernar" soporta responsabilidad proactiva
• Modelo Operativo: Marco de ciclo de vida de gestión de riesgos

COBIT 2019

• Valor Principal: Gobernanza empresarial de TI
• Ideal Para: Responsabilidad del liderazgo, derechos de decisión, medición del rendimiento
• Contribución Clave: 40 objetivos de gobernanza/gestión, KPIs/KRIs, mecanismos de aseguramiento
• Soporte al RGPD: Fuerte para prevenir el "teatro de privacidad", formalizar la propiedad
• Enfoque: Quién decide, cómo se monitorea el rendimiento, cómo se obtiene el aseguramiento

Brechas Críticas del RGPD No Cubiertas por los Marcos

Modelo de Cumplimiento Integrado

Enfoque Recomendado:

1. RGPD (+ DPbD) como "estrella polar" del cumplimiento

   • Definir propósitos lícitos, minimización, retención, transparencia, derechos

2. ISO/IEC 27001 como columna vertebral de aseguramiento

   • SGSI para gobernanza, tratamiento de riesgos, aseguramiento del proveedor, mejora continua

3. NIST CSF 2.0 como hoja de ruta operativa de seguridad

   • Organizar resultados de seguridad desde Gobernar → Recuperar

4. Cyber Essentials como conjunto de controles de línea base

   • Abordar ataques comunes por internet

5. COBIT como superposición de gobernanza

   • Responsabilidad del liderazgo, KPIs/KRIs, mecanismos de aseguramiento

Principio Clave: El RGPD define qué debe protegerse y por qué, mientras que los marcos definen cómo se ejecuta, mide y evidencia la protección.

Implementación de Seguridad y Respuesta a Incidentes

Arquitectura de Seguridad en Capas

Modelo de Defensa en Profundidad en:

• Endpoints
• Redes
• Identidades
• Aplicaciones
• Datos

Controles de Seguridad Técnicos

1. Gestión de Identidad y Acceso

• Control de Acceso Basado en Roles (RBAC) con privilegio mínimo
• Autenticación Multifactor (MFA) para roles privilegiados
• Gestión de Acceso Privilegiado (PAM) con grabación de sesiones
• Revisiones de acceso regulares

2. Protección de Datos

• Cifrado en tránsito (TLS)
• Cifrado en reposo con gestión de claves
• Servicio de Gestión de Claves (KMS) / Módulo de Seguridad de Hardware (HSM)

3. Segmentación de Red

• Zonas de seguridad aisladas:
  • Redes de cámaras
  • Componentes de procesamiento de FRT
  • Consolas de administración
  • Base de datos central de rastreo
• Tráfico este-oeste controlado
• Comunicación interzona estrictamente controlada

4. Fortalecimiento del Sistema

• Líneas base de configuración segura
• Gestión de vulnerabilidades
• Gestión de parches
• Puertas de enlace API seguras
• Seguridad de componentes de terceros

5. Detección de Amenazas en Tiempo Real

• Registro centralizado (SIEM)
• Detecciones para casos de mal uso:
  • Acceso administrativo inusual
  • Búsquedas masivas
  • Patrones anómalos de búsqueda facial
  • Inicios de sesión fallidos repetidos
  • Exportaciones de datos inesperadas
  • Acceso fuera de horas/ubicaciones aprobadas

6. Preparación Forense

• Registros con marca de tiempo e integridad protegida
• Períodos de retención apropiados
• Procedimientos de cadena de custodia
• Almacenamiento seguro de evidencia

Marco de Respuesta a Incidentes

Alineado con NIST SP 800-61 e ISO/IEC 27035

Fases del Ciclo de Vida:

1. Preparación

   • Categorías y niveles de gravedad de incidentes definidos
   • Manuales para escenarios comunes
   • Listas de contactos y rutas de escalado
   • Herramientas y acceso preconfigurados

2. Detección y Análisis

   • Alertas de SIEM
   • Caza de amenazas
   • Triaje y clasificación de incidentes
   • Recolección de evidencia

3. Contención, Erradicación y Recuperación

   • Aislar sistemas afectados
   • Deshabilitar cuentas comprometidas
   • Preservar evidencia
   • Análisis de causa raíz
   • Restauración del sistema

4. Actividad Posterior al Incidente

   • Lecciones aprendidas
   • Mejoras de procesos
   • Actualizaciones de controles
   • Documentación

Matriz de Clasificación de Gravedad de Incidentes

Requisitos de Notificación de Brechas del RGPD

Artículo 33 del RGPD del Reino Unido: El responsable del tratamiento debe notificar a la autoridad de control sin demora indebida y, cuando sea posible, dentro de las 72 horas posteriores a tener conocimiento de una brecha notificable.

Artículo 34 del RGPD del Reino Unido: Si es probable que la brecha resulte en alto riesgo para los derechos y libertades de las personas, comunicarlo a las personas afectadas sin demora indebida.

Capacidades Requeridas:

• Registro de brechas mantenido
• Desencadenante de "conocimiento" definido
• Proceso de evaluación rápida:
  • Alcance
  • Tipos de datos afectados
  • Riesgo para las personas
  • Acciones de contención
• Decisiones de reporte basadas en evidencia
• Documentación de demoras y justificación

Capítulo 2: Estudio de Caso de la Brecha de Oracle EBS

Análisis de CVE-2025-61882

Resumen del Incidente

Nombre de la Campaña: Campaña de extorsión con marca CL0P
Objetivo: Organizaciones que ejecutan Oracle E-Business Suite (EBS) local
Vulnerabilidad: CVE-2025-61882 (Día cero crítico)
Tipo de Ataque: Robo de datos para extorsión (sin ransomware)

Cronología

Detalles Técnicos de la Vulnerabilidad

Características de CVE-2025-61882:

• Puntuación CVSS: 9.8 (Crítico)
• Versiones Afectadas: Oracle EBS 12.2.3–12.2.14
• Vector de Ataque: Red (conectado a internet)
• Autenticación: Ninguna requerida (pre-autenticación)
• Impacto: Ejecución Remota de Código (RCE)
• Componente Afectado: Procesamiento Concurrente de Oracle / Integración de BI Publisher

Por Qué Es Peligroso:

• Pre-autenticación + accesible por red + RCE = catastrófico
• Permite a atacantes acceder a datos comerciales principales sin credenciales
• Puede interactuar con informes, documentos y fuentes de datos
• Componentes de ERP conectados a internet = superficie de ataque de alto valor

Impacto Organizacional y Pérdidas

Impacto Principal: Pérdida de confidencialidad a través de exfiltración masiva de datos

Categorías de Impacto:

1. Disrupción Operativa y Recuperación

   • Sistemas puestos fuera de línea para investigación
   • Rotación de credenciales/claves
   • Restauración de línea base
   • Parcheado de emergencia
   • Costos de inactividad y remediación

2. Exposición Regulatoria y Legal

   • Exfiltración de datos personales (empleados, contratistas, clientes)
   • Obligaciones de notificación del RGPD del Reino Unido/UE
   • Requisitos de evaluación de riesgos y documentación
   • Posibles multas y acciones legales

3. Pérdida Financiera Directa

   • Demandas de extorsión (reportadas: en el rango de millones de dólares)
   • Impacto comercial de la posible exposición
   • Costos operativos

4. Daño Reputacional

   • Nombramiento público en el sitio de filtración de CL0P (~30 organizaciones)
   • Erosión de la confianza
   • Riesgos secundarios:
     • Relleno de credenciales
     • Phishing utilizando documentos robados
     • Fraude de identidad/bancario (si se expusieron datos de nómina/RRHH)

Ejemplo de Víctima: Unidad de catering/duty-free de Korean Air

• Decenas de miles de registros de empleados
• Volúmenes de datos muy grandes supuestamente filtrados
• Ilustra la escala e impacto de una brecha de ERP

TTPs del Atacante y Contramedidas Defensivas

Tácticas, Técnicas y Procedimientos del Atacante

Caracterización de la Campaña: Extorsión por robo de datos mediante explotación masiva (no ransomware tradicional)

1. Acceso Inicial

• Método: Explotación de CVE-2025-61882
• Objetivo: Servicios HTTP de Oracle EBS conectados a internet
• Escala: Explotación masiva en múltiples organizaciones
• Efectividad: RCE pre-autenticación = entrada de alta probabilidad y alto impacto

2. Amplificación de Ingeniería Social

• Operación en Dos Partes:
  • Parte 1: Meses de actividad de intrusión contra entornos EBS
  • Parte 2: Campaña de correo de extorsión de alto volumen (29 de septiembre de 2025)
• Táctica: Correos enviados desde cientos/miles de cuentas de terceros comprometidas
• Fuente: Credenciales probablemente obtenidas de registros de infostealers
• Objetivo: Eludir controles de spam, aumentar legitimidad, presionar a las víctimas
• Separación: Operaciones de acceso desacopladas de operaciones de monetización

3. Ejecución y Persistencia

• Implant: Marco de implante Java de múltiples etapas
• Ubicación de Almacenamiento: Base de datos de EBS en sí misma (no sistema de archivos)
• Tablas Específicas: XDO_TEMPLATES_B y XDO_LOBS
• Técnica de Evasión: Las cargas maliciosas aparecen como "contenido de aplicación"
• Implicación: Solo parchear es insuficiente; la persistencia puede permanecer después del parche

4. Descubrimiento, Recopilación y Exfiltración

• Repositorios Objetivo:
  • Documentos de ERP
  • Salidas de BI Publisher
  • Artefactos de RRHH/finanzas
• Proceso: Identificación rápida → preparación de colecciones → exfiltración
• Prueba: Los actores proporcionaron listados legítimos de archivos de entornos de víctimas
• Motivación: Obtener influencia para la extorsión
• Sigilo: Interés mínimo en sigilo a largo plazo después del robo de datos

Por Qué Estos Métodos Funcionaron

**Tres Fallos Sistémicos:**1. Superficie de exposición al ataque

• Componentes EBS expuestos públicamente
• Punto único de fallo catastrófico con RCE previa a la autenticación

2. Riesgo de latencia de parches y ciclo de vida de versiones

   • Advertencia del NHS England: las versiones EBS con "soporte sostenido" o fin de vida ya no reciben actualizaciones
   • La deuda de actualización aumenta las ventanas de explotabilidad

3. Brechas de detección

   • No se implementa monitoreo consciente de aplicaciones
   • No se implementa búsqueda de plantillas en la base de datos
   • No se detecta creación inusual de informes/plantillas
   • Consultas administrativas anómalas invisibles

Contramedidas defensivas

1. Parcheo de emergencia + Reducción de exposición (PREVENIR)

Acciones:

• Aplicar parches de emergencia de Oracle inmediatamente
• Eliminar la exposición directa de EBS a Internet
• Implementar acceso VPN/Confianza Cero
• Implementar listas blancas
• Agregar reglas WAF cuando sea factible

Mapeo de marcos: ISO 27001 (gestión de cambios/parches); NIST CSF (Proteger)

Evidencia: Alerta de seguridad de Oracle, evaluación de NHS England

2. Búsqueda de compromisos y erradicación (ASUMIR BREACH)

Acciones:

• Buscar contenido malicioso en la base de datos de EBS
• Verificar anomalías en tablas XDO_*
• Buscar patrones sospechosos de creación de plantillas
• Tratar "parche aplicado" como inicio de la respuesta a incidentes, no como fin

Mapeo de marcos: NIST CSF (Detectar/Responder); ISO 27001 (registro/monitoreo, gestión de incidentes)

Evidencia: Guía de Mandiant sobre cargas útiles residentes en bases de datos

3. Mínimo privilegio, segmentación y endurecimiento de credenciales (LIMITAR RADIO DE EXPLOSIÓN)

Acciones:

• Aplicar RBAC estricto para la administración de EBS
• Aislar los niveles de aplicación de EBS de las redes más amplias
• Proteger cuentas de base de datos y servicio:
  • Rotación
  • Almacenamiento seguro
  • MFA cuando sea posible
• Reducir el movimiento lateral posterior a la explotación

Mapeo de marcos: Cyber Essentials (control de acceso, configuración segura); ISO 27001 (control de acceso); NIST CSF (Proteger)

4. Ingeniería de telemetría y detección (REDUCIR TIEMPO DE PERMANENCIA)

Acciones:

• Centralizar registros de EBS, registros de auditoría de base de datos, actividad de administración en SIEM
• Alertar sobre:
  • Creación inusual de informes/plantillas
  • Enumeración masiva de documentos
  • Temas anómalos dirigidos a ejecutivos
  • Exportaciones de datos anómalas
• Detecciones conscientes de aplicaciones para cargas útiles residentes en bases de datos

Mapeo de marcos: NIST CSF (Detectar); COBIT (supervisión de KPI/KRI)

5. Controles de gobernanza para presión de extorsión (GESTIONAR CRISIS)

Acciones:

• Guiones para ejecutivos ante correos de extorsión
• Pasos de verificación
• Rutas de escalado legal/DPO
• Gobernanza de comunicaciones
• Procedimientos de recolección de evidencia

Mapeo de marcos: COBIT (objetivos de gobernanza); NIST CSF (Gobernar/Responder)

Efectividad: Previene decisiones apresuradas y desinformadas bajo presión

Evaluación de riesgos y estrategia de mitigación

Metodología de evaluación de riesgos

Modelo: Probabilidad (1-5) × Impacto (1-5) = Puntuación de riesgo

Categorías de riesgo:

• Bajo: 1–5
• Medio: 6–10
• Alto: 11–15
• Crítico: 16–25

Registro de riesgos

Estrategia de mitigación priorizada

Prioridad máxima (riesgos críticos)

1. Cerrar ruta de acceso inicial

   • Aplicar la corrección de Oracle para CVE-2025-61882
   • Reducir exposición (eliminar acceso directo a Internet)
   • Implementar rutas de acceso controladas y filtrado
   • Justificación: Oracle y la orientación nacional enfatizan el parcheo urgente debido a la probable explotación

2. Asumir compromiso y erradicar persistencia

   • Buscar artefactos residentes en la base de datos
   • Verificar actividad sospechosa de plantillas de BI Publisher
   • Validar integridad de repositorios de contenido de EBS
   • Justificación: Guía de Mandiant sobre persistencia de cargas útiles en tablas de BD

3. Bloquear privilegios y detener robo masivo

   • Implementar PAM/MFA
   • Aplicar mínimo privilegio
   • Separación sólida de funciones
   • Monitorear patrones anómalos de exportación/consulta
   • Justificación: El valor de la campaña proviene de la exfiltración rápida de datos

4. Endurecer gobernanza y preparación para respuesta

   • Definir SLA de parches de emergencia
   • Asignar propietarios para cada componente de EBS
   • Crear guiones de extorsión para ejecutivos
   • Justificación: Toma de decisiones basada en evidencia bajo presión

Prioridad secundaria (riesgos altos)

5. Reducir radio de explosión

   • Segmentación y control de salida
   • Limitar movimiento lateral y preparación de datos

6. Mejorar detección

   • Reenviar señales de auditoría de EBS/BD a SIEM
   • Crear detecciones personalizadas para este tipo de incidente

7. Mejorar resiliencia

   • Copias de seguridad inmutables
   • Procedimientos de recuperación probados
   • Reducir presión de extorsión

8. Garantía de proveedores

   • Responsabilidades contractuales claras
   • Manejo de parches/monitoreo/incidentes auditable

Vinculación con el cumplimiento del RGPD

Este enfoque de tratamiento de riesgos respalda directamente:

• Integridad y confidencialidad (Artículo 5(1)(f))
• Responsabilidad (Artículo 5(2))
• Estrategia de control demostrable para el procesamiento de datos personales de alto impacto
• Preparación para violaciones para obligaciones oportunas de evaluación/reporting (Artículos 33-34)

Entregables clave

1. Marco de operacionalización de DPbD

Tabla completa que mapea:

• Requisitos de DPbD
• Implementaciones específicas del sistema (CCTV/FRT/seguimiento)
• Valores predeterminados técnicos
• Controles organizativos
• Evidencia/artefactos de auditoría

2. Matriz de comparación de marcos

Análisis detallado de:

• ISO/IEC 27001
• Cyber Essentials
• NIST CSF 2.0
• COBIT 2019

Contra los principios del RGPD del Reino Unido:

• Licitud, lealtad, transparencia
• Limitación de la finalidad
• Minimización de datos
• Exactitud
• Limitación del plazo de conservación
• Integridad y confidencialidad
• Responsabilidad

3. Modelo de cumplimiento integrado

Recomendaciones para:

• Combinar RGPD como "estrella del norte"
• ISO 27001 como columna vertebral de aseguramiento
• NIST CSF como hoja de ruta operativa
• Cyber Essentials como línea base
• COBIT como capa de gobernanza

4. Marco de respuesta a incidentes

Ciclo de vida completo alineado con:

• NIST SP 800-61
• ISO/IEC 27035
• RGPD del Reino Unido Artículos 33-34

Incluyendo:

• Matriz de clasificación de severidad
• Procedimientos de escalado
• Plazos de notificación
• Manejo de evidencia
• Guiones para escenarios comunes

5. Análisis de violación de Oracle EBS

Estudio integral que cubre:

• Detalles técnicos de la vulnerabilidad (CVE-2025-61882)
• Línea de tiempo del ataque y evaluación de impacto
• TTP del atacante con mapeo MITRE
• Contramedidas defensivas
• Evaluación de riesgos (Probabilidad × Impacto)
• Estrategia de mitigación priorizada

Contexto académico

Módulo: SEC7000 - Seguridad de la Información
Institución: Cardiff Metropolitan University
Escuela: Cardiff School of Technologies
Programa: MSc Advanced Cyber Security
Año académico: 2025/2026, Trimestre 1
Líder del módulo: Dr Liqaa Nawaf

Resultados de aprendizaje demostrados

1. Protección de datos por diseño y por defecto

   • Operacionalización del Artículo 25 del RGPD del Reino Unido
   • Implementación de SDLC consciente de la privacidad
   • Controles técnicos y organizativos

2. Integración de marcos

   • Análisis comparativo de marcos de seguridad/gobernanza
   • Identificación y remediación de brechas
   • Modelado de cumplimiento integrado

3. Implementación de seguridad

   • Arquitectura de defensa en profundidad por capas
   • Detección de amenazas en tiempo real
   • Preparación forense

4. Respuesta a incidentes

   • Gestión del ciclo de vida (NIST SP 800-61, ISO 27035)
   • Clasificación de severidad y escalado
   • Procedimientos de notificación de violaciones RGPD

5. Aplicación en el mundo real

   • Análisis crítico de la violación de Oracle EBS
   • Evaluación de TTP del atacante
   • Desarrollo de estrategia de mitigación basada en riesgos

Desarrollo de habilidades prácticas

Módulos de Immersive Labs completados:

• Introducción a la línea de comandos
• Desplazamiento (navegación en Linux)
• Permisos de archivos en Linux
• Cyber Million: Seguridad cibernética
• Cyber Million: Mantenerse seguro en línea
• Laboratorios esenciales de ciberseguridad de Cisco

Habilidades adquiridas:

• Competencia en línea de comandos de Linux
• Permisos de archivos y control de acceso
• Evaluación de riesgos de seguridad desde la perspectiva humana
• Consideración del comportamiento del usuario como superficie de ataque
• Combinación de controles técnicos y centrados en el usuario

Referencias

Fuentes primarias

RGPD del Reino Unido y Protección de Datos:

• European Data Protection Board (EDPB) (2020) Directrices 3/2019 sobre el tratamiento de datos personales a través de dispositivos de vídeo
• Information Commissioner's Office (ICO) - Protección de datos por diseño y por defecto
• Information Commissioner's Office (ICO) - CCTV y videovigilancia
• legislation.gov.uk - Reglamento (UE) 2016/679, Artículo 25
• Data Protection Act 2018
• Gobierno del Reino Unido (GOV.UK) - Uso de CCTV

Marcos de seguridad:

• ISO/IEC 27001 - Sistemas de Gestión de Seguridad de la Información
• NIST Cybersecurity Framework (CSF) 2.0
• NCSC Cyber Essentials Requisitos (v3.1, enero de 2023)
• ISACA COBIT 2019

Respuesta a incidentes:

• NIST SP 800-61 - Guía para el manejo de incidentes de seguridad informática
• ISO/IEC 27035-1 - Gestión de incidentes de seguridad de la información

Violación de Oracle EBS (CVE-2025-61882)

Inteligencia de amenazas:

• Google Threat Intelligence Group (GTIG) y Mandiant (2025) "Oracle E-Business Suite Zero-Day Exploited in Widespread Extortion Campaign"
• NHS England (2025) "Oracle Releases Security Advisory for E-Business Suite (CC-4705)"

Bases de datos de vulnerabilidades:

• National Vulnerability Database (NVD) - Detalle de CVE-2025-61882
• Aviso de alerta de seguridad de Oracle - CVE-2025-61882
• Aviso de Actualización Crítica de Parches de Oracle - Octubre de 2025

Autor

Sid Ali Bendris
Identificación de estudiante: 20238021
MSc Advanced Cyber Security
Cardiff Metropolitan University
Cardiff School of Technologies

Líder del módulo: Dr Liqaa Nawaf

Licencia

Este proyecto se desarrolla con fines académicos como parte del programa MSc Advanced Cyber Security en Cardiff Metropolitan University.

Agradecimientos

• Dr Liqaa Nawaf por el liderazgo y la orientación del módulo
• Cardiff Metropolitan University por el apoyo académico
• Information Commissioner's Office (ICO) por la guía completa del RGPD
• Google Threat Intelligence Group y Mandiant por el análisis detallado de la violación
• Oracle Corporation por los avisos de seguridad e información de parches
• NHS England Digital por las alertas de seguridad nacional

Estado del proyecto: Evaluación académica completada
Fecha de presentación: Trimestre 1, Año Académico 2025/2026
Tipo de evaluación: Tarea escrita (Individual)
Recuento de palabras: Cumple con los requisitos del módulo

Temas clave: Protección de datos, Cumplimiento del RGPD, Vigilancia biométrica, Respuesta a incidentes, Gestión de riesgos, Marcos de seguridad, Análisis de violaciones