主要な課題:

• 影響度の高いプライバシーリスク(生体認証の特別カテゴリデータ)
• リソースが制約された運用環境
• 複雑な規制環境(UK GDPR第25条、ICOガイダンス)
• マルチベンダーのセキュリティ保証要件

研究目的

1. 設計・デフォルトによるデータ保護を運用可能にする(UK GDPR第25条)
2. セキュリティフレームワークをGDPRコンプライアンス要件にマッピングする
3. 高リスク監視システム向けに多層セキュリティコントロールを設計する
4. NIST SP 800-61およびISO 27035に準拠したインシデントレスポンス手順を開発する
5. 実際の侵害(Oracle EBS CVE-2025-61882)を分析し、防御上の教訓を抽出する

第1章:データ保護コンプライアンス

設計・デフォルトによるデータ保護(DPbD)

中核原則(UK GDPR第25条)

設計・デフォルトによるデータ保護は、「コンプライアンス上の後付け」ではなく、エンジニアリングおよびガバナンス上の要件として扱わなければなりません。CCTV、FRT、集中型コンタクトトレーシングを組み合わせたシステムでは、DPbDは以下でなければなりません:

• 要件段階から展開・運用に至るまで組み込まれていること
• 定義された「ゲート」を備えたプライバシー対応SDLCを通じて維持されること
• テスト可能なコントロールおよび監査成果物を通じて実証されること

DPbD実装フレームワーク

プライバシー対応セキュア開発ライフサイクル(SDLC)

主要なDPbDメカニズム

1. 設計による保護(処理全体に統合)

• プライバシー要件を非機能要件(NFR)として扱う
• 脅威モデリング+プライバシー悪用ケース
• 承認チェックポイントを備えたSDLC「プライバシーゲート」

2. デフォルトによる保護(必要なデータのみ)

• トレーシングDBの最小限のフィールド
• 最小権限のロール
• 最短の保持期間をベースラインとする
• 範囲拡大に対する変更管理

3. データ最小化

• カメラのゾーニングとプライバシーマスキング
• 常時本人確認を避ける(可能な場合は検知・人数カウントを使用)
• 必須のトレーシング属性のみを収集する

4. 目的制限とファンクションクリープ防止

• ユースケースタグ付きの目的拘束型アクセスコントロール
• クエリ制限
• 新たな目的に対する承認ワークフロー
• 二次利用を防止するベンダー契約条項

5. 仮名化とPET(プライバシー拡張技術)

• コンタクトトレーシング用のトークン化/仮名ID
• データベースの分離(識別子と接触イベント)
• KMS/HSMで保護された結合キー
• 再識別におけるツーパーソンルール

6. 透明性とユーザーコントロール

• 多層的なプライバシー通知(QRコード、告知表示、アプリ通知)
• DSAR(データ主体アクセス要求)ワークフロー
• 明確なコミュニケーション計画

7. アクセス制限(最小権限)

• ロールベースアクセス制御(RBAC)
• 特権ロールに対する多要素認証(MFA)
• 特権アクセス管理(PAM)
• 四半期ごとのアクセスレビュー

8. 完全性と機密性

• 転送中/保存中の暗号化
• セキュアAPIゲートウェイ
• ネットワークセグメンテーション
• エンドポイント検出・対応(EDR)
• 不変監査ログ

9. 保存制限

• 自動保持期間の強制
• 削除ワークフロー
• キーの暗号学的消去
• 監査証跡用のWORMログ

10. 生きたコントロールとしてのDPIA

• ライフサイクルの早い段階で完了させる
• システム変更時にレビューする
• リスク台帳を維持する
• 緩和策の追跡

フレームワーク比較分析

概要

UK GDPRは原則主導型であり、組織は以下を実証することが求められます:

• 適法で公正かつ透明性のある処理
• 目的制限
• データ最小化
• 正確性
• 保存制限
• 完全性と機密性
• 説明責任

セキュリティおよびガバナンスフレームワークは、GDPRの高水準な義務を実践可能なコントロールに変換するのに役立ちますが、GDPRコンプライアンスを置き換えるものではありません。

GDPR原則へのフレームワークマッピング

フレームワークの強みと最適な用途

ISO/IEC 27001

• 主な価値: 情報セキュリティマネジメントシステム(ISMS)
• 最適な用途: 組織レベルのセキュリティガバナンス、リスク対応、監査対応
• 主な貢献: アクセス制御、暗号化、サプライヤーセキュリティ、ログ記録、インシデント管理をカバーする93の附属書Aコントロール
• GDPRサポート: 完全性/機密性、説明責任、保存制限に強力

Cyber Essentials

• 主な価値: ベースラインとなる技術的衛生基準
• 最適な用途: 一般的なインターネットベースの攻撃からの保護
• 主な貢献: 5つのコアコントロール(ファイアウォール、セキュア設定、パッチ適用、アクセス制御、マルウェア対策)
• GDPRサポート: ベースラインセキュリティには強力、より高次のプライバシー義務には限定的
• 位置付け: より広範なガバナンスモデルにおける「最低基準」

NIST CSF 2.0

• 主な価値: 運用上のセキュリティ構造
• 最適な用途: 日常的なセキュリティ成果と成熟度の向上
• 主な貢献: 6つの中核機能(Govern、Identify、Protect、Detect、Respond、Recover)
• GDPRサポート: 完全性/機密性に強力、"Govern"機能が説明責任をサポート
• 運用モデル: リスク管理ライフサイクルフレームワーク

COBIT 2019

• 主な価値: ITのエンタープライズガバナンス
• 最適な用途: リーダーシップの説明責任、意思決定権、パフォーマンス測定
• 主な貢献: 40のガバナンス/マネジメント目標、KPI/KRI、保証メカニズム
• GDPRサポート: 「プライバシーシアター(形だけのプライバシー対応)」の防止、責任の正式化に強力
• 焦点: 誰が決定するか、パフォーマンスがどのように監視されるか、保証がどのように得られるか

フレームワークがカバーしない重要なGDPRギャップ

統合コンプライアンスモデル

推奨アプローチ:

1. コンプライアンスの「羅針盤」としてのGDPR(+ DPbD)

   • 適法な目的、最小化、保持、透明性、権利を定義する

2. 保証の基盤としてのISO/IEC 27001

   • ガバナンス、リスク対応、サプライヤー保証、継続的改善のためのISMS

3. 運用上のセキュリティロードマップとしてのNIST CSF 2.0

   • GovernからRecoverにわたってセキュリティ成果を整理する

4. ベースラインコントロールセットとしてのCyber Essentials

   • 一般的なインターネットベースの攻撃に対処する

5. ガバナンスオーバーレイとしてのCOBIT

   • リーダーシップの説明責任、KPI/KRI、保証メカニズム

重要な原則: GDPRは何をなぜ保護すべきかを定義し、フレームワークは保護がどのように実行、測定、実証されるかを定義します。

セキュリティ実装とインシデントレスポンス

多層セキュリティアーキテクチャ

多層防御(ディフェンスインデプス)モデルを以下の領域全体に適用:

• エンドポイント
• ネットワーク
• アイデンティティ
• アプリケーション
• データ

技術的セキュリティコントロール

1. アイデンティティおよびアクセス管理

• 最小権限を備えたロールベースアクセス制御(RBAC)
• 特権ロールに対する多要素認証(MFA)
• セッション録画機能付き特権アクセス管理(PAM)
• 定期的なアクセスレビュー

2. データ保護

• 転送中の暗号化(TLS)
• キー管理を伴う保存中の暗号化
• キーマネジメントサービス(KMS)/ハードウェアセキュリティモジュール(HSM)

3. ネットワークセグメンテーション

• 分離されたセキュリティゾーン:
  • カメラネットワーク
  • FRT処理コンポーネント
  • 管理コンソール
  • 集中トレーシングデータベース
• 制御された東西トラフィック
• 厳格に制御されたゾーン間通信

4. システム堅牢化

• セキュア設定ベースライン
• 脆弱性管理
• パッチ管理
• セキュアAPIゲートウェイ
• サードパーティコンポーネントのセキュリティ

5. リアルタイム脅威検知

• 集中ログ管理(SIEM)
• 悪用ケースの検知:
  • 異常な管理アクセス
  • 一括検索
  • 異常な顔検索パターン
  • 繰り返し発生するログイン失敗
  • 予期しないデータエクスポート
  • 承認された時間外・場所外からのアクセス

6. フォレンジック準備

• タイムスタンプ付きで整合性が保護されたログ
• 適切な保持期間
• 証拠保管連鎖(チェーンオブカストディ)手順
• セキュアな証拠保管

インシデントレスポンスフレームワーク

NIST SP 800-61およびISO/IEC 27035に準拠

ライフサイクルフェーズ:

1. 準備

   • インシデントカテゴリと重大度レベルの定義
   • 一般的なシナリオ向けのプレイブック
   • 連絡先リストとエスカレーションパス
   • 事前設定されたツールとアクセス

2. 検知と分析

   • SIEMアラート
   • 脅威ハンティング
   • インシデントのトリアージと分類
   • 証拠収集

3. 封じ込め、根絶、復旧

   • 影響を受けたシステムの隔離
   • 侵害されたアカウントの無効化
   • 証拠の保全
   • 根本原因分析
   • システムの復元

4. インシデント後活動

   • 教訓(レッスンラーニング)
   • プロセス改善
   • コントロールの更新
   • 文書化

インシデント重大度分類マトリックス

GDPR侵害通知要件

UK GDPR第33条: 管理者は、通知対象の侵害を認識した場合、不当な遅延なく、可能であれば認識から72時間以内に監督当局へ通知しなければなりません。

UK GDPR第34条: 侵害が個人の権利と自由に対する高いリスクをもたらす可能性が高い場合、影響を受ける個人に不当な遅延なく通知しなければなりません。

必要な能力:

• 侵害ログの維持
• 定義された「認識」トリガー
• 迅速な評価プロセス:
  • 範囲
  • 影響を受けるデータ種別
  • 個人へのリスク
  • 封じ込め措置
• 証拠に基づく報告判断
• 遅延とその理由の文書化

第2章:Oracle EBS侵害ケーススタディ

CVE-2025-61882の分析

インシデント概要

キャンペーン名: CL0Pを名乗る恐喝キャンペーン 標的: オンプレミスのOracle E-Business Suite(EBS)を運用する組織 脆弱性: CVE-2025-61882(重大なゼロデイ) 攻撃タイプ: 恐喝目的のデータ窃取(ランサムウェアではない)

タイムライン

脆弱性の技術的詳細

CVE-2025-61882の特徴:

• CVSSスコア: 9.8(重大)
• 影響を受けるバージョン: Oracle EBS 12.2.3-12.2.14
• 攻撃経路: ネットワーク(インターネット公開)
• 認証: 不要(事前認証)
• 影響: リモートコード実行(RCE)
• 影響を受けるコンポーネント: Oracle Concurrent Processing / BI Publisher統合

これが危険な理由:

• 事前認証+ネットワーク到達可能性+RCE = 壊滅的
• 攻撃者が資格情報なしで中核ビジネスデータにアクセスできる
• レポート、ドキュメント、データソースとやり取りできる
• インターネット公開のERPコンポーネント = 価値の高い攻撃対象領域

組織への影響と損失

主な影響: 大規模なデータ流出による機密性の喪失

影響カテゴリ:

1. 運用停止と復旧

   • 調査のためオフラインにされたシステム
   • 資格情報/キーのローテーション
   • ベースラインの復元
   • 緊急パッチ適用
   • ダウンタイムと是正コスト

2. 規制および法的エクスポージャー

   • 個人データの流出(従業員、契約社員、顧客)
   • UK/EU GDPRの通知義務
   • リスク評価と文書化の要件
   • 罰金と法的措置の可能性

3. 直接的な財務的損失

   • 恐喝要求(報告によると数百万ドル規模)
   • 潜在的な情報公開によるビジネス影響
   • 運用コスト

4. 風評被害

   • CL0Pリークサイトでの公的な組織名公表(約30組織)
   • 信頼の毀損
   • 二次的なリスク:
     • クレデンシャルスタッフィング
     • 盗難ドキュメントを用いたフィッシング
     • なりすまし/銀行詐欺(給与/人事データが公開された場合)

被害事例: 大韓航空の機内食/免税事業部門

• 数万人分の従業員記録
• 非常に大規模なデータ量が流出したとされる
• ERP侵害の規模と影響を示す

攻撃者のTTPと防御的対策

攻撃者の戦術、技術、手順(TTP)

キャンペーンの特徴: 大規模な悪用によるデータ窃取恐喝(従来型のランサムウェアではない)

1. 初期アクセス

• 手法: CVE-2025-61882の悪用
• 標的: インターネット公開のOracle EBS HTTPサービス
• 規模: 複数の組織にわたる大規模な悪用
• 有効性: 事前認証RCE = 可能性が高く、影響の大きい侵入口

2. ソーシャルエンジニアリングの増幅

• 2段階のオペレーション:
  • 第1部: EBS環境に対する数か月にわたる侵入活動
  • 第2部: 大量の恐喝メールキャンペーン(2025年9月29日)
• 戦術: 数百から数千の侵害された第三者アカウントから送信されたメール
• 情報源: 資格情報はインフォスティーラーのログから取得された可能性が高い
• 目的: スパム対策の回避、信頼性の向上、被害者への圧力
• 分離: アクセス運用と金銭化運用の分離

3. 実行と永続化

• インプラント: 多段階Javaインプラントフレームワーク
• 保存場所: EBSデータベース自体(ファイルシステムではない)
• 特定のテーブル: XDO_TEMPLATES_B および XDO_LOBS
• 回避技術: 悪意のあるペイロードが「アプリケーションコンテンツ」として表示される
• 示唆: パッチ適用だけでは不十分。パッチ適用後も永続化が残る可能性がある

4. 探索、収集、流出

• 標的リポジトリ:
  • ERPドキュメント
  • BI Publisherの出力
  • 人事/財務関連の成果物
• プロセス: 迅速な特定 → 収集データのステージング → 外部送信
• 証拠: 攻撃者は被害者環境から取得した正当なファイル一覧を提示
• 動機: 恐喝のための交渉材料を確保する
• ステルス性: データ窃取後は長期的なステルス性への関心は最小限

これらの手法が成功した理由

**3つの構造的な失敗:**1. 攻撃対象領域の露出

• 公開されたEBSコンポーネント
• 事前認証RCEによる壊滅的障害の単一障害点

2. パッチ遅延とバージョンライフサイクルリスク

   • NHS Englandの警告: 「サステニングサポート」またはEOLのEBSリリースは更新を受けられなくなる
   • アップグレード負債が悪用可能な期間を拡大する

3. 検知のギャップ

   • アプリケーション認識型の監視がない
   • データベーステンプレートのハンティングが実装されていない
   • 異常なレポート/テンプレート作成が検知されない
   • 異常な管理者クエリが可視化されない

防御的対策

1. 緊急パッチ適用＋露出削減（予防）

対策:

• Oracleの緊急パッチを直ちに適用する
• EBSをインターネット直接公開から外す
• VPN/ゼロトラストアクセスを導入する
• 許可リストを展開する
• 可能な場合はWAFルールを追加する

フレームワーク対応: ISO 27001（変更/パッチガバナンス）；NIST CSF（Protect）

エビデンス: Oracleセキュリティアラート、NHS Englandの評価

2. 侵害ハンティングと根絶（侵害を前提とする）

対策:

• EBSデータベース内の悪意あるコンテンツをハンティングする
• XDO_* テーブルの異常を確認する
• 不審なテンプレート作成パターンを探す
• 「パッチ適用済み」をインシデント対応の開始として扱い、終了とはしない

フレームワーク対応: NIST CSF（Detect/Respond）；ISO 27001（ログ/監視、インシデント管理）

エビデンス: データベース常駐ペイロードに関するMandiantのガイダンス

3. 最小特権、セグメンテーション、認証情報の強化（爆発半径の制限）

対策:

• EBS管理に対する厳格なRBACを実施する
• EBSアプリケーションティアをより広範なネットワークから分離する
• データベースおよびサービスアカウントを保護する:
  • ローテーション
  • ボールト化
  • 可能な場合はMFA
• 悪用後のラテラルムーブメントを削減する

フレームワーク対応: Cyber Essentials（アクセス制御、セキュアな設定）；ISO 27001（アクセス制御）；NIST CSF（Protect）

4. テレメトリと検知エンジニアリング（滞在時間の削減）

対策:

• EBSログ、データベース監査ログ、管理活動をSIEMに一元化する
• 以下にアラートを設定する:
  • 異常なレポート/テンプレート作成
  • 一括ドキュメント列挙
  • 異常な経営幹部向けテーマ
  • 異常なデータエクスポート
• データベース常駐ペイロードに対するアプリケーション認識型検知

フレームワーク対応: NIST CSF（Detect）；COBIT（KPI/KRI監視）

5. 恐喝圧力に対するガバナンス統制（危機管理）

対策:

• 恐喝メールに対する経営幹部向けプレイブック
• 検証手順
• 法務/DPOへのエスカレーションパス
• コミュニケーションガバナンス
• エビデンス収集手順

フレームワーク対応: COBIT（ガバナンス目標）；NIST CSF（Govern/Respond）

効果: プレッシャー下での性急で情報不足の意思決定を防ぐ

リスク評価と緩和戦略

リスク評価方法論

モデル: 可能性（1〜5）×影響度（1〜5）=リスクスコア

リスクカテゴリ:

• 低: 1〜5
• 中: 6〜10
• 高: 11〜15
• 重大: 16〜25

リスク台帳

優先順位付けされた緩和戦略

最優先（重大リスク）

1. 初期アクセス経路を閉じる

   • CVE-2025-61882に対するOracleの修正を適用する
   • 露出を削減する（インターネット直接アクセスを削除）
   • 制御されたアクセス経路とフィルタリングを実施する
   • 根拠: Oracleおよび国のガイダンスは、悪用の可能性が高いため緊急パッチ適用を強調している

2. 侵害を前提とし、永続化を根絶する

   • データベース常駐のアーティファクトをハンティングする
   • 不審なBI Publisherテンプレート活動を確認する
   • EBSコンテンツリポジトリの整合性を検証する
   • 根拠: DBテーブル内のペイロード永続化に関するMandiantのガイダンス

3. 特権を制限し、大量窃取を阻止する

   • PAM/MFAを導入する
   • 最小特権を実施する
   • 強い職務分離
   • 異常なエクスポート/クエリパターンを監視する
   • 根拠: キャンペーンの価値は迅速なデータ持ち出しにある

4. ガバナンスと対応準備態勢を強化する

   • 緊急パッチのSLAを定義する
   • 各EBSコンポーネントに所有者を割り当てる
   • 経営幹部向け恐喝プレイブックを作成する
   • 根拠: プレッシャー下でのエビデンスに基づく意思決定

二次優先（高リスク）

5. 爆発半径を削減する

   • セグメンテーションとegress制御
   • ラテラルムーブメントとデータステージングを制限する

6. 検知を改善する

   • EBS/DB監査シグナルをSIEMに転送する
   • このインシデントタイプに特化した検知を作成する

7. 回復力を強化する

   • 不変バックアップ
   • テスト済みの復旧手順
   • 恐喝の梃子（レバレッジ）を削減する

8. サプライヤー保証

   • 明確な契約上の責任
   • 監査可能なパッチ/監視/インシデント対応

GDPRコンプライアンスとの関連

このリスク対応アプローチは以下を直接支援する:

• 完全性と機密性（第5条(1)(f)）
• 説明責任（第5条(2)）
• 高影響度の個人データ処理に対する実証可能な管理戦略
• タイムリーな評価/報告義務（第33条〜34条）に対する侵害への準備態勢

主要成果物

1. DPbD運用化フレームワーク

包括的な対応表:

• DPbD要件
• システム固有の実装（CCTV/顔認識技術/追跡）
• 技術的デフォルト
• 組織的統制
• エビデンス/監査アーティファクト

2. フレームワーク比較マトリクス

以下に関する詳細な分析:

• ISO/IEC 27001
• Cyber Essentials
• NIST CSF 2.0
• COBIT 2019

UK GDPR原則との比較:

• 適法性、公正性、透明性
• 目的制限
• データ最小化
• 正確性
• 保存制限
• 完全性と機密性
• 説明責任

3. 統合コンプライアンスモデル

推奨事項:

• GDPRを「北極星」として組み合わせる
• ISO 27001を保証のバックボーンとして
• NIST CSFを運用ロードマップとして
• Cyber Essentialsをベースラインとして
• COBITをガバナンスのオーバーレイとして

4. インシデント対応フレームワーク

以下に整合した完全なライフサイクル:

• NIST SP 800-61
• ISO/IEC 27035
• UK GDPR第33条〜34条

含まれるもの:

• 重大度分類マトリクス
• エスカレーション手順
• 報告のタイムライン
• エビデンス取り扱い
• 一般的なシナリオ向けプレイブック

5. Oracle EBS侵害分析

以下を網羅する包括的な調査:

• 脆弱性の技術的詳細（CVE-2025-61882）
• 攻撃のタイムラインと影響評価
• MITREマッピング付きの攻撃者TTP
• 防御的対策
• リスク評価（可能性×影響度）
• 優先順位付けされた緩和戦略

学術的状況

モジュール: SEC7000 - 情報セキュリティ
機関: カーディフ・メトロポリタン大学
学部: カーディフ工学部（Cardiff School of Technologies）
プログラム: MSc アドバンスト・サイバーセキュリティ
学年度: 2025/2026年度、前期（Term 1）
モジュールリーダー: Dr Liqaa Nawaf

実証された学習成果

1. データ保護バイデザイン＆デフォルト

   • UK GDPR第25条の運用化
   • プライバシーを考慮したSDLC実装
   • 技術的および組織的統制

2. フレームワーク統合

   • セキュリティ/ガバナンスフレームワークの比較分析
   • ギャップの特定と是正
   • 統合コンプライアンスモデリング

3. セキュリティ実装

   • 多層防御（ディフェンス・イン・デプス）アーキテクチャ
   • リアルタイム脅威検知
   • フォレンジック準備態勢

4. インシデント対応

   • ライフサイクル管理（NIST SP 800-61、ISO 27035）
   • 重大度分類とエスカレーション
   • GDPR侵害通知手順

5. 実世界への応用

   • Oracle EBS侵害の批判的分析
   • 攻撃者TTPの評価
   • リスクベースの緩和戦略の策定

実践的スキルの習得

完了したImmersive Labsモジュール:

• コマンドライン入門
• 移動（Linuxナビゲーション）
• Linuxファイル権限
• Cyber Million: サイバーセーフティ
• Cyber Million: オンラインで安全を保つ
• Cisco Cyber Essentialsラボ

習得したスキル:

• Linuxコマンドラインの熟達
• ファイル権限とアクセス制御
• 人間の視点からのセキュリティリスク評価
• 攻撃対象領域としてのユーザー行動の考慮
• 技術的制御とユーザー重視の制御の組み合わせ

参考文献

一次情報源

UK GDPRとデータ保護:

• European Data Protection Board (EDPB) (2020) 映像機器を通じた個人データの処理に関するガイドライン3/2019
• Information Commissioner's Office (ICO) - データ保護バイデザインとデフォルト
• Information Commissioner's Office (ICO) - CCTVと映像監視
• legislation.gov.uk - 規則(EU) 2016/679 第25条
• 2018年データ保護法
• 英国政府（GOV.UK） - CCTVの利用

セキュリティフレームワーク:

• ISO/IEC 27001 - 情報セキュリティマネジメントシステム
• NISTサイバーセキュリティフレームワーク（CSF）2.0
• NCSC Cyber Essentials要件（v3.1、2023年1月）
• ISACA COBIT 2019

インシデント対応:

• NIST SP 800-61 - コンピュータセキュリティインシデント対応ガイド
• ISO/IEC 27035-1 - 情報セキュリティインシデント管理

Oracle EBS侵害（CVE-2025-61882）

脅威インテリジェンス:

• Google Threat Intelligence Group (GTIG) ＆ Mandiant (2025) 「広範な恐喝キャンペーンで悪用されたOracle E-Business Suiteのゼロデイ」
• NHS England (2025) 「OracleがE-Business Suiteのセキュリティ勧告を公開（CC-4705）」

脆弱性データベース:

• National Vulnerability Database (NVD) - CVE-2025-61882詳細
• Oracleセキュリティアラート勧告 - CVE-2025-61882
• Oracle Critical Patch Update勧告 - 2025年10月

著者

Sid Ali Bendris
学生ID: 20238021
MSc アドバンスト・サイバーセキュリティ
カーディフ・メトロポリタン大学
カーディフ工学部（Cardiff School of Technologies）

モジュールリーダー: Dr Liqaa Nawaf

ライセンス

本プロジェクトは、カーディフ・メトロポリタン大学のMScアドバンスト・サイバーセキュリティプログラムの一環として、学術目的で開発されました。

謝辞

• モジュールのリーダーシップと指導をいただいたDr Liqaa Nawaf氏
• 学術的支援をいただいたカーディフ・メトロポリタン大学
• 包括的なGDPRガイダンスを提供いただいたInformation Commissioner's Office (ICO)
• 詳細な侵害分析を提供いただいたGoogle Threat Intelligence GroupとMandiant
• セキュリティ勧告とパッチ情報を提供いただいたOracle Corporation
• 国のセキュリティアラートを提供いただいたNHS England Digital

プロジェクトステータス: 学術評価完了
提出日: 2025/2026年度 前期（Term 1）
評価タイプ: 筆記課題（個人）
語数: モジュール要件に準拠

主要テーマ: データ保護、GDPRコンプライアンス、生体認証監視、インシデント対応、リスク管理、セキュリティフレームワーク、侵害分析