Ce travail aborde les défis critiques liés au déploiement de systèmes de surveillance biométrique à haut risque tout en maintenant la conformité avec le UK GDPR, en mettant en œuvre des contrôles de sécurité en couches et en établissant des capacités robustes de réponse aux incidents.

Périmètre du système

Composants de la solution proposée :

1. Réseau CCTV : Infrastructure de vidéosurveillance
2. Technologie de reconnaissance faciale (FRT) : Système d'identification biométrique
3. Traçage centralisé des contacts : Base de données pour le suivi des interactions

Défis clés :

• Risques élevés pour la vie privée (données biométriques relevant de catégories particulières)
• Environnement opérationnel contraint en ressources
• Paysage réglementaire complexe (UK GDPR Article 25, directives de l'ICO)
• Exigences d'assurance de sécurité multi-fournisseurs

Objectifs de recherche

1. Opérationnaliser la protection des données dès la conception et par défaut (Article 25 UK GDPR)
2. Cartographier les cadres de sécurité par rapport aux exigences de conformité GDPR
3. Concevoir des contrôles de sécurité en couches pour les systèmes de surveillance à haut risque
4. Développer des procédures de réponse aux incidents alignées sur NIST SP 800-61 et ISO 27035
5. Analyser une brèche réelle (Oracle EBS CVE-2025-61882) pour en tirer des leçons défensives

Chapitre 1 : Conformité à la protection des données

Protection des données dès la conception et par défaut (DPbD)

Principe fondamental (Article 25 UK GDPR)

La protection des données dès la conception et par défaut doit être traitée comme une exigence d'ingénierie et de gouvernance, non comme une « réflexion de conformité » après coup. Pour les systèmes combinant CCTV, FRT et traçage centralisé des contacts, la DPbD doit être :

• Intégrée dès la phase d'analyse des besoins jusqu'au déploiement et à l'exploitation
• Maintenue via un SDLC respectueux de la vie privée avec des « portes » définies
• Prouvée par des contrôles testables et des artefacts d'audit

Cadre de mise en œuvre de la DPbD

Cycle de vie de développement sécurisé respectueux de la vie privée (SDLC)

Mécanismes clés de la DPbD

1. Dès la conception (Intégrer tout au long du traitement)

• Exigences de confidentialité en tant qu'exigences non fonctionnelles (NFR)
• Modélisation des menaces + cas d'utilisation abusive de la vie privée
• « Portes de confidentialité » dans le SDLC avec points de validation

2. Par défaut (Uniquement les données nécessaires)

• Champs minimaux dans la base de données de traçage
• Rôles avec moindre privilège
• Conservation la plus courte comme base de référence
• Contrôle des changements pour l'extension du périmètre

3. Minimisation des données

• Zonage des caméras et masquage de la vie privée
• Éviter l'identification permanente (utiliser la détection/comptage lorsque possible)
• Ne collecter que les attributs essentiels de traçage

4. Limitation des finalités et anti-dérive fonctionnelle

• Contrôles d'accès liés à la finalité avec étiquettes de cas d'usage
• Restrictions de requêtes
• Processus d'approbation pour de nouvelles finalités
• Clauses contractuelles avec les fournisseurs interdisant l'usage secondaire

5. Pseudonymisation et PETs

• Tokenisation/ID pseudonyme pour le traçage des contacts
• Bases de données séparées (identifiants vs. événements d'exposition)
• Clés de jointure protégées dans KMS/HSM
• Règle des deux personnes pour la ré-identification

6. Transparence et contrôle de l'utilisateur

• Avis de confidentialité à plusieurs niveaux (QR codes, signalétique, notifications d'application)
• Processus de demande d'accès (DSAR)
• Plan de communication clair

7. Limitation de l'accès (Moindre privilège)

• Contrôle d'accès basé sur les rôles (RBAC)
• Authentification multi-facteurs (MFA) pour les rôles privilégiés
• Gestion des accès privilégiés (PAM)
• Revues d'accès trimestrielles

8. Intégrité et confidentialité

• Chiffrement en transit / au repos
• Passerelle API sécurisée
• Segmentation réseau
• Détection et réponse sur les terminaux (EDR)
• Journaux d'audit immuables

9. Limitation de la conservation

• Application automatisée de la conservation
• Processus de suppression
• Effacement cryptographique pour les clés
• Journaux WORM pour les pistes d'audit

10. AIPD comme contrôle vivant

• Réalisée tôt dans le cycle de vie
• Révisée lors des changements système
• Registre des risques maintenu
• Suivi des mesures d'atténuation

Analyse comparative des cadres

Vue d'ensemble

Le UK GDPR est fondé sur des principes, exigeant des organisations qu'elles démontrent :

• Traitement licite, loyal et transparent
• Limitation des finalités
• Minimisation des données
• Exactitude
• Limitation de la conservation
• Intégrité et confidentialité
• Responsabilité

Les cadres de sécurité et de gouvernance aident à convertir les obligations de haut niveau du GDPR en contrôles actionnables, mais ils ne remplacent pas la conformité GDPR.

Cartographie des cadres par rapport aux principes GDPR

Forces des cadres et meilleure utilisation

ISO/IEC 27001

• Valeur principale : Système de management de la sécurité de l'information (SMSI)
• Meilleur pour : Gouvernance de la sécurité au niveau organisationnel, traitement des risques, préparation aux audits
• Contribution clé : 93 contrôles de l'Annexe A couvrant le contrôle d'accès, la cryptographie, la sécurité des fournisseurs, la journalisation, la gestion des incidents
• Soutien au GDPR : Fort pour l'intégrité/confidentialité, la responsabilité, la limitation de la conservation

Cyber Essentials

• Valeur principale : Référentiel d'hygiène technique de base
• Meilleur pour : Protection contre les attaques internet courantes
• Contribution clé : 5 contrôles de base (pare-feux, configuration sécurisée, correctifs, contrôle d'accès, protection contre les logiciels malveillants)
• Soutien au GDPR : Fort pour la sécurité de base, limité pour les obligations de confidentialité de niveau supérieur
• Positionnement : « Barre minimale » dans un modèle de gouvernance plus large

NIST CSF 2.0

• Valeur principale : Structure opérationnelle de sécurité
• Meilleur pour : Résultats de sécurité quotidiens et améliorations de la maturité
• Contribution clé : 6 fonctions de base (Gouvernance, Identifier, Protéger, Détecter, Répondre, Récupérer)
• Soutien au GDPR : Fort pour l'intégrité/confidentialité, la fonction « Gouvernance » soutient la responsabilité
• Modèle opérationnel : Cadre de cycle de vie de gestion des risques

COBIT 2019

• Valeur principale : Gouvernance d'entreprise des TI
• Meilleur pour : Responsabilité de la direction, droits de décision, mesure de la performance
• Contribution clé : 40 objectifs de gouvernance/gestion, KPI/KRI, mécanismes d'assurance
• Soutien au GDPR : Fort pour prévenir le « théâtre de la vie privée », formaliser la propriété
• Focus : Qui décide, comment la performance est surveillée, comment l'assurance est obtenue

Lacunes critiques du GDPR non couvertes par les cadres

Modèle de conformité intégré

Approche recommandée :

1. GDPR (+ DPbD) comme « étoile polaire » de la conformité

   • Définir les finalités licites, la minimisation, la conservation, la transparence, les droits

2. ISO/IEC 27001 comme épine dorsale de l'assurance

   • SMSI pour la gouvernance, le traitement des risques, l'assurance fournisseur, l'amélioration continue

3. NIST CSF 2.0 comme feuille de route opérationnelle de sécurité

   • Organiser les résultats de sécurité de Gouvernance à Récupérer

4. Cyber Essentials comme ensemble de contrôles de base

   • Traiter les attaques internet courantes

5. COBIT comme couche de gouvernance

   • Responsabilité de la direction, KPI/KRI, mécanismes d'assurance

Principe clé : Le GDPR définit ce qui doit être protégé et pourquoi, tandis que les cadres définissent comment la protection est exécutée, mesurée et prouvée.

Implémentation de la sécurité et réponse aux incidents

Architecture de sécurité en couches

Modèle de défense en profondeur couvrant :

• Terminaux
• Réseaux
• Identités
• Applications
• Données

Contrôles techniques de sécurité

1. Gestion des identités et des accès

• Contrôle d'accès basé sur les rôles (RBAC) avec moindre privilège
• Authentification multi-facteurs (MFA) pour les rôles privilégiés
• Gestion des accès privilégiés (PAM) avec enregistrement de session
• Revues d'accès régulières

2. Protection des données

• Chiffrement en transit (TLS)
• Chiffrement au repos avec gestion des clés
• Service de gestion des clés (KMS) / Module de sécurité matériel (HSM)

3. Segmentation réseau

• Zones de sécurité isolées :
  • Réseaux de caméras
  • Composants de traitement FRT
  • Consoles d'administration
  • Base de données de traçage centralisée
• Trafic est-ouest contrôlé
• Communication inter-zone strictement contrôlée

4. Durcissement des systèmes

• Référentiels de configuration sécurisée
• Gestion des vulnérabilités
• Gestion des correctifs
• Passerelles API sécurisées
• Sécurité des composants tiers

5. Détection des menaces en temps réel

• Journalisation centralisée (SIEM)
• Détections pour les cas d'abus :
  • Accès administratif inhabituel
  • Recherches en masse
  • Schémas anormaux de recherche faciale
  • Échecs de connexion répétés
  • Exportations de données inattendues
  • Accès en dehors des horaires/lieux approuvés

6. Préparation médico-légale

• Journaux horodatés et protégés en intégrité
• Périodes de conservation appropriées
• Procédures de chaîne de traçabilité
• Stockage sécurisé des preuves

Cadre de réponse aux incidents

Aligné sur NIST SP 800-61 & ISO/IEC 27035

Phases du cycle de vie :

1. Préparation

   • Catégories d'incidents et niveaux de gravité définis
   • Playbooks pour les scénarios courants
   • Listes de contacts et chemins d'escalade
   • Outils et accès préconfigurés

2. Détection et analyse

   • Alertes SIEM
   • Chasse aux menaces
   • Triage et classification des incidents
   • Collecte de preuves

3. Confinement, éradication et récupération

   • Isoler les systèmes affectés
   • Désactiver les comptes compromis
   • Préserver les preuves
   • Analyse des causes profondes
   • Restauration du système

4. Activité post-incident

   • Leçons apprises
   • Améliorations des processus
   • Mises à jour des contrôles
   • Documentation

Matrice de classification de la gravité des incidents

Exigences de notification des violations GDPR

Article 33 UK GDPR : Le responsable du traitement doit notifier l'autorité de contrôle sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance.

Article 34 UK GDPR : Si la violation est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques, communiquer à la personne concernée sans retard injustifié.

Capacités requises :

• Registre des violations maintenu
• Déclencheur de « prise de connaissance » défini
• Processus d'évaluation rapide :
  • Périmètre
  • Types de données affectées
  • Risque pour les personnes
  • Actions de confinement
• Décisions de signalement fondées sur des preuves
• Documentation des retards et de leur justification

Chapitre 2 : Étude de cas sur la brèche Oracle EBS

Analyse de CVE-2025-61882

Vue d'ensemble de l'incident

Nom de la campagne : Campagne d'extorsion sous la marque CL0P
Cible : Organisations utilisant Oracle E-Business Suite (EBS) sur site
Vulnérabilité : CVE-2025-61882 (Zero-day critique)
Type d'attaque : Vol de données à des fins d'extorsion (sans rançongiciel)

Chronologie

Détails techniques de la vulnérabilité

Caractéristiques de CVE-2025-61882 :

• Score CVSS : 9.8 (Critique)
• Versions affectées : Oracle EBS 12.2.3 – 12.2.14
• Vecteur d'attaque : Réseau (accessible depuis Internet)
• Authentification : Aucune requise (pré-authentification)
• Impact : Exécution de code à distance (RCE)
• Composant affecté : Traitement simultané Oracle / Intégration BI Publisher

Pourquoi cela est dangereux :

• Pré-authentification + accessible par réseau + RCE = catastrophique
• Permet aux attaquants d'accéder aux données métier essentielles sans identifiants
• Peut interagir avec les rapports, les documents et les sources de données
• Composants ERP accessibles depuis Internet = surface d'attaque de grande valeur

Impact organisationnel et pertes

Impact principal : Perte de confidentialité par exfiltration massive de données

Catégories d'impact :

1. Perturbation opérationnelle et récupération

   • Systèmes mis hors ligne pour enquête
   • Rotation des identifiants/clés
   • Restauration de la ligne de base
   • Correction d'urgence
   • Coûts d'arrêt et de remédiation

2. Exposition réglementaire et juridique

   • Exfiltration de données personnelles (employés, sous-traitants, clients)
   • Obligations de notification UK/EU GDPR
   • Exigences d'évaluation des risques et de documentation
   • Amendes potentielles et actions en justice

3. Pertes financières directes

   • Demandes d'extorsion (signalées : de l'ordre de plusieurs millions de dollars)
   • Impact commercial d'une exposition potentielle
   • Coûts opérationnels

4. Dommage réputationnel

   • Nomination publique sur le site de fuite de CL0P (~30 organisations)
   • Érosion de la confiance
   • Risques secondaires :
     • Bourrage d'identifiants
     • Phishing utilisant des documents volés
     • Fraude d'identité/bancaire (si paie/RH exposés)

Exemple de victime : L'unité de restauration/duty-free de Korean Air

• Des dizaines de milliers d'enregistrements d'employés
• De très gros volumes de données auraient fuité
• Illustre l'ampleur et l'impact d'une brèche ERP

TTPs de l'attaquant et contre-mesures défensives

Tactiques, techniques et procédures de l'attaquant

Caractérisation de la campagne : Extorsion par vol de données via exploitation massive (pas de rançongiciel traditionnel)

1. Accès initial

• Méthode : Exploitation de CVE-2025-61882
• Cible : Services HTTP Oracle EBS accessibles depuis Internet
• Échelle : Exploitation massive à travers plusieurs organisations
• Efficacité : RCE pré-authentification = entrée à forte probabilité et fort impact

2. Amplification par ingénierie sociale

• Opération en deux parties :
  • Partie 1 : Mois d'activité d'intrusion contre les environnements EBS
  • Partie 2 : Campagne d'emails d'extorsion à grand volume (29 septembre 2025)
• Tactique : Emails envoyés depuis des centaines/milliers de comptes tiers compromis
• Source : Identifiants probablement issus de journaux d'infecteurs
• Objectif : Contourner les contrôles anti-spam, augmenter la légitimité, faire pression sur les victimes
• Séparation : Opérations d'accès découplées des opérations de monétisation

3. Exécution et persistance

• Implant : Cadre d'implant Java multi-étapes
• Emplacement de stockage : Dans la base de données EBS elle-même (pas dans le système de fichiers)
• Tables spécifiques : XDO_TEMPLATES_B et XDO_LOBS
• Technique d'évasion : Les charges malveillantes apparaissent comme du « contenu applicatif »
• Implication : Le simple correctif est insuffisant ; la persistance peut subsister après le correctif

4. Découverte, collecte et exfiltration

• Dépôts ciblés :
  • Documents ERP
  • Sorties BI Publisher
  • Artéfacts RH/finances
• Processus : Identification rapide → collecte par lots → exfiltration
• Preuve : Les acteurs ont fourni des listes de fichiers légitimes provenant des environnements victimes
• Motivation : Obtenir un levier pour l'extorsion
• Discrétion : Intérêt minimal pour la furtivité à long terme après le vol des données

Pourquoi ces méthodes ont fonctionné

**Trois défaillances systémiques :**1. Exposition de la surface d'attaque

• Composants EBS exposés au public
• Point de défaillance unique catastrophique avec RCE pré-authentification

2. Latence des correctifs et risque lié au cycle de vie des versions

   • Avertissement du NHS England : les versions EBS en « support de maintien » ou en fin de vie ne reçoivent plus de mises à jour
   • La dette de mise à niveau augmente les fenêtres d'exploitabilité

3. Lacunes de détection

   • Aucune surveillance adaptée aux applications
   • Chasse aux templates dans la base de données non implémentée
   • Création inhabituelle de rapports/templates non détectée
   • Requêtes d'administration anormales invisibles

Contre-mesures défensives

1. Correctifs d'urgence + Réduction de l'exposition (PRÉVENIR)

Actions :

• Appliquer immédiatement les correctifs d'urgence Oracle
• Supprimer l'exposition directe d'EBS à Internet
• Mettre en œuvre un VPN / un accès Zero Trust
• Déployer une liste blanche
• Ajouter des règles WAF lorsque c'est possible

Cadre de référence : ISO 27001 (gouvernance des changements/correctifs) ; NIST CSF (Protéger)

Preuves : Alerte de sécurité Oracle, évaluation du NHS England

2. Chasse à la compromission et éradication (SUPPOSER LA VIOLATION)

Actions :

• Rechercher du contenu malveillant dans la base de données EBS
• Vérifier les anomalies des tables XDO_*
• Rechercher des schémas suspects de création de templates
• Considérer le « correctif appliqué » comme le début de la réponse à incident, et non la fin

Cadre de référence : NIST CSF (Détecter/Répondre) ; ISO 27001 (journalisation/surveillance, gestion des incidents)

Preuves : Recommandations de Mandiant sur les charges utiles résidant dans la base de données

3. Moindre privilège, segmentation et durcissement des identifiants (LIMITER LE RAYON D'EXPLOSION)

Actions :

• Appliquer un RBAC strict pour l'administration d'EBS
• Isoler les couches applicatives EBS des réseaux plus larges
• Protéger les comptes de base de données et de service :
  • Rotation
  • Coffre-fort
  • MFA lorsque c'est possible
• Réduire les mouvements latéraux post-exploitation

Cadre de référence : Cyber Essentials (contrôle d'accès, configuration sécurisée) ; ISO 27001 (contrôle d'accès) ; NIST CSF (Protéger)

4. Télémétrie et ingénierie de détection (RÉDUIRE LE TEMPS DE SÉJOUR)

Actions :

• Centraliser les logs EBS, les journaux d'audit de la base de données et l'activité d'administration dans un SIEM
• Alerter sur :
  • Création inhabituelle de rapports/templates
  • Énumération en masse de documents
  • Thèmes anormaux ciblant les dirigeants
  • Exportations de données anormales
• Détections adaptées aux applications pour les charges utiles résidant dans la base de données

Cadre de référence : NIST CSF (Détecter) ; COBIT (surveillance des KPI/KRI)

5. Contrôles de gouvernance pour la pression d'extorsion (GÉRER LA CRISE)

Actions :

• Playbooks pour les dirigeants en cas d'emails d'extorsion
• Étapes de vérification
• Chemins d'escalade juridique/DPO
• Gouvernance des communications
• Procédures de collecte de preuves

Cadre de référence : COBIT (objectifs de gouvernance) ; NIST CSF (Gouverner/Répondre)

Efficacité : Empêche les décisions précipitées et non informées sous pression

Évaluation des risques et stratégie d'atténuation

Méthodologie d'évaluation des risques

Modèle : Probabilité (1-5) × Impact (1-5) = Score de risque

Catégories de risque :

• Faible : 1–5
• Moyen : 6–10
• Élevé : 11–15
• Critique : 16–25

Registre des risques

Stratégie d'atténuation priorisée

Priorité absolue (Risques critiques)

1. Fermer la voie d'accès initial

   • Appliquer le correctif Oracle pour CVE-2025-61882
   • Réduire l'exposition (supprimer l'accès direct à Internet)
   • Appliquer des voies d'accès contrôlées et un filtrage
   • Justification : Oracle et les directives nationales insistent sur les correctifs urgents en raison d'une probable exploitation

2. Supposer une compromission et éradiquer la persistance

   • Rechercher des artefacts résidant dans la base de données
   • Vérifier l'activité suspecte des templates BI Publisher
   • Valider l'intégrité des référentiels de contenu EBS
   • Justification : Recommandations de Mandiant sur la persistance des charges utiles dans les tables DB

3. Verrouiller les privilèges et stopper le vol massif

   • Mettre en œuvre PAM/MFA
   • Appliquer le moindre privilège
   • Séparation stricte des tâches
   • Surveiller les modèles anormaux d'export/requêtes
   • Justification : La valeur de la campagne provient de l'exfiltration rapide des données

4. Renforcer la gouvernance et la préparation à la réponse

   • Définir des SLA pour les correctifs d'urgence
   • Attribuer des propriétaires pour chaque composant EBS
   • Créer des playbooks d'extorsion pour les dirigeants
   • Justification : Prise de décision fondée sur des preuves sous pression

Priorité secondaire (Risques élevés)

5. Réduire le rayon d'explosion

   • Segmentation et contrôle des sorties
   • Limiter les mouvements latéraux et le staging des données

6. Améliorer la détection

   • Transmettre les signaux d'audit EBS/DB vers le SIEM
   • Créer des détections adaptées à ce type d'incident

7. Renforcer la résilience

   • Sauvegardes immuables
   • Procédures de récupération testées
   • Réduire le levier d'extorsion

8. Assurance des fournisseurs

   • Responsabilités contractuelles claires
   • Correctifs/surveillance/gestion des incidents audités

Lien avec la conformité RGPD

Cette approche de traitement des risques soutient directement :

• Intégrité et confidentialité (Article 5(1)(f))
• Responsabilité (Article 5(2))
• Stratégie de contrôle démontrable pour le traitement de données personnelles à fort impact
• Préparation aux violations pour les obligations d'évaluation et de notification en temps utile (Articles 33-34)

Livrables clés

1. Cadre d'opérationnalisation du DPbD

Tableau complet cartographiant :

• Exigences DPbD
• Implémentations spécifiques au système (CCTV/FRT/traçage)
• Paramètres techniques par défaut
• Contrôles organisationnels
• Preuves/artefacts d'audit

2. Matrice de comparaison des cadres

Analyse détaillée de :

• ISO/CEI 27001
• Cyber Essentials
• NIST CSF 2.0
• COBIT 2019

Par rapport aux principes du RGPD britannique :

• Licéité, loyauté, transparence
• Limitation des finalités
• Minimisation des données
• Exactitude
• Limitation de la conservation
• Intégrité et confidentialité
• Responsabilité

3. Modèle de conformité intégré

Recommandations pour :

• Combiner le RGPD comme « étoile polaire »
• ISO 27001 comme colonne vertébrale d'assurance
• NIST CSF comme feuille de route opérationnelle
• Cyber Essentials comme base de référence
• COBIT comme couche de gouvernance

4. Cadre de réponse aux incidents

Cycle de vie complet aligné sur :

• NIST SP 800-61
• ISO/CEI 27035
• Articles 33-34 du RGPD britannique

Incluant :

• Matrice de classification de sévérité
• Procédures d'escalade
• Délais de signalement
• Gestion des preuves
• Playbooks pour les scénarios courants

5. Analyse de la brèche Oracle EBS

Étude approfondie couvrant :

• Détails techniques de la vulnérabilité (CVE-2025-61882)
• Chronologie de l'attaque et évaluation de l'impact
• TTP de l'attaquant avec cartographie MITRE
• Contre-mesures défensives
• Évaluation des risques (Probabilité × Impact)
• Stratégie d'atténuation priorisée

Contexte académique

Module : SEC7000 - Sécurité de l'information
Institution : Cardiff Metropolitan University
École : Cardiff School of Technologies
Programme : MSc Advanced Cyber Security
Année académique : 2025/2026, Terme 1
Responsable du module : Dr Liqaa Nawaf

Résultats d'apprentissage démontrés

1. Protection des données dès la conception et par défaut

   • Opérationnalisation de l'article 25 du RGPD britannique
   • Mise en œuvre d'un SDLC respectueux de la vie privée
   • Contrôles techniques et organisationnels

2. Intégration des cadres

   • Analyse comparative des cadres de sécurité/gouvernance
   • Identification et remédiation des écarts
   • Modélisation de conformité intégrée

3. Mise en œuvre de la sécurité

   • Architecture de défense en profondeur multicouche
   • Détection des menaces en temps réel
   • Préparation médico-légale

4. Réponse aux incidents

   • Gestion du cycle de vie (NIST SP 800-61, ISO 27035)
   • Classification de sévérité et escalade
   • Procédures de notification de violation du RGPD

5. Application dans le monde réel

   • Analyse critique de la brèche Oracle EBS
   • Évaluation des TTP de l'attaquant
   • Développement d'une stratégie d'atténuation basée sur les risques

Développement des compétences pratiques

Modules Immersive Labs réalisés :

• Introduction à la ligne de commande
• Se déplacer (navigation Linux)
• Permissions des fichiers Linux
• Cyber Million : Sécurité informatique
• Cyber Million : Rester en sécurité en ligne
• Labos Cisco Cyber Essentials

Compétences acquises :

• Compétence en ligne de commande Linux
• Permissions des fichiers et contrôle d'accès
• Évaluation des risques de sécurité du point de vue humain
• Considération du comportement des utilisateurs comme surface d'attaque
• Combinaison de contrôles techniques et centrés sur l'utilisateur

Références

Sources primaires

RGPD britannique et protection des données :

• European Data Protection Board (EDPB) (2020) Lignes directrices 3/2019 sur le traitement des données personnelles via des dispositifs vidéo
• Information Commissioner's Office (ICO) - Protection des données dès la conception et par défaut
• Information Commissioner's Office (ICO) - CCTV et vidéosurveillance
• legislation.gov.uk - Règlement (UE) 2016/679, article 25
• Data Protection Act 2018
• Gouvernement britannique (GOV.UK) - Utilisation de la CCTV

Cadres de sécurité :

• ISO/CEI 27001 - Systèmes de management de la sécurité de l'information
• NIST Cybersecurity Framework (CSF) 2.0
• NCSC Cyber Essentials Requirements (v3.1, janvier 2023)
• ISACA COBIT 2019

Réponse aux incidents :

• NIST SP 800-61 - Guide de gestion des incidents de sécurité informatique
• ISO/CEI 27035-1 - Gestion des incidents de sécurité de l'information

Brèche Oracle EBS (CVE-2025-61882)

Renseignement sur les menaces :

• Google Threat Intelligence Group (GTIG) & Mandiant (2025) « Oracle E-Business Suite Zero-Day Exploited in Widespread Extortion Campaign »
• NHS England (2025) « Oracle Releases Security Advisory for E-Business Suite (CC-4705) »

Bases de données de vulnérabilités :

• National Vulnerability Database (NVD) - Détail CVE-2025-61882
• Avis d'alerte de sécurité Oracle - CVE-2025-61882
• Avis du Critical Patch Update Oracle - octobre 2025

Auteur

Sid Ali Bendris
ID étudiant : 20238021
MSc Advanced Cyber Security
Cardiff Metropolitan University
Cardiff School of Technologies

Responsable du module : Dr Liqaa Nawaf

Licence

Ce projet est développé à des fins académiques dans le cadre du programme MSc Advanced Cyber Security à Cardiff Metropolitan University.

Remerciements

• Dr Liqaa Nawaf pour la direction et les conseils du module
• Cardiff Metropolitan University pour le soutien académique
• Information Commissioner's Office (ICO) pour les directives complètes sur le RGPD
• Google Threat Intelligence Group et Mandiant pour l'analyse détaillée de la brèche
• Oracle Corporation pour les avis de sécurité et les informations sur les correctifs
• NHS England Digital pour les alertes de sécurité nationales

Statut du projet : Évaluation académique terminée
Date de soumission : Terme 1, Année académique 2025/2026
Type d'évaluation : Devoir écrit (individuel)
Nombre de mots : Conforme aux exigences du module

Thèmes clés : Protection des données, conformité RGPD, surveillance biométrique, réponse aux incidents, gestion des risques, cadres de sécurité, analyse de brèche