Unit 10（リスク管理とデータ保護、コンプライアンス）必須ラボ☆

CertMaster Labs for Security+ より。Unit 10 は公式テキストのモジュール15・16（＝章15・16）に対応。
研修の枠：1日 実働約7時間、当日ラボ実施は 3〜4時間の想定。
5日間カリキュラム（K列）では Unit 10 は5日目（最終日近辺、章15・16をまとめて扱う）。

Unit 10 に対応するラボ（章15・16）

ラボ	種別	対応章/ユニット	標準時間	区分
偵察の実行	サポート	章15／U10	1 h 30 min	必須（当日）
侵入テストの実行	サポート	章15／U10	1 h 30 min	必須（当日）
シミュレーションによるトレーニングと意識向上	サポート	章16／U10	1 h	推奨（時間があれば当日／なければ自習）
ネットワークインシデントの調査と修復	チャレンジ	章16／U10	1 h	必須（当日・総合演習）

Unit 10 は割当ラボが4本・合計約5時間。攻撃側の理解（偵察→侵入テスト）と総合力を測るチャレンジラボの3本を当日必須、意識向上ラボを調整枠とする。5日目は座学（リスク管理・データ保護・コンプライアンス）と並行し、これまでの学習の総仕上げに使う。

当日実施する必須ラボ

1. サポートラボ：偵察の実行（1h30m）

• 目的：ペネトレーションテストの第一段階「偵察」を体験。能動的偵察（ポートスキャン・サービス列挙・OSフィンガープリンティング・DNS列挙）と受動的偵察（OSINT）の違いを実機で確認。
• 対応スライド：pptx#264-266（脆弱性検査ツール／侵入テスト）。公式モジュール15C（p.457）。試験目標5.5。
• 合格との接続：
  • 能動的（対象と直接対話・発見されやすい）／受動的（OSINT・発見リスク低） の使い分け（＋1ポイント ＋10-H）。
  • 偵察で得た情報が後続の攻撃ベクトル特定につながる流れを理解。

2. サポートラボ：侵入テストの実行（1h30m）※最重要

• 目的：許可された環境で実際の攻撃ツールを使い、脆弱性を悪用してセキュリティ制御の弱点を証明する。
• 対応スライド：pptx#264-266（ペネトレーションテスト／レッドチーム／環境区分）。公式モジュール15C（p.456-459）。試験目標5.5。
• 合格との接続：
  • パッシブな脆弱性スキャンとの違い＝制御を能動的にテストし脆弱性を実際に悪用する点（＋10-H）。
  • 環境区分（既知/部分的既知/未知） と チーム色（レッド＝攻撃／ブルー＝防御／パープル＝統合） を実演と結び付ける。
  • 「対象組織の同意・許可」「情報資産に損害を与えない」という原則（pptx#265）を必ず確認。

3. チャレンジラボ：ネットワークインシデントの調査と修復（1h）※総合演習

• 目的：これまでの全ユニットの知識を統合し、インシデントの調査（検知・分析）から修復までを自力で行う。
• 対応：公式モジュール16（データ保護／インシデント対応の観点）＋ Unit 7（インシデント対応・フォレンジック）と相互参照。
• 合格との接続：
  • リスク管理サイクル（識別→分析→対応→検証）を実インシデントで適用。
  • 侵害のエスカレーション／通知（GDPR 72時間、HIPAA）、再発防止（Unit 10 pptx#279-280）につなげる。
  • チャレンジラボは手順が最小限のため、5日目の到達度確認に最適。

調整枠（時間があれば当日、なければ自習/LMSQ）

4. サポートラボ：シミュレーションによるトレーニングと意識向上（1h）

• 目的：フィッシング演習やシミュレーション教育を通じて、セキュリティ意識向上プログラムの運用を体験。
• 対応スライド：人事ポリシー（pptx#282-286）＋公式モジュール16B（p.481-487）。試験目標5.6。
• 合格との接続：フィッシングキャンペーン、CTF/ゲーミフィケーション、意識教育ライフサイクル（＋10-L）。座学の内部不正対策（職務分離・強制休暇）と連動。

進行のコツ

• 5日目は「攻撃者の視点（偵察→侵入テスト）」を体験させ、座学のペンテスト用語（環境区分・チーム色・偵察種別）を実機で裏づける。
• 侵入テストラボの前に pptx#266（環境区分表）と＋1ポイント ＋10-H を板書。倫理・許可の原則を強調。
• チャレンジラボは最終総合演習として、各ラボ後に「このリスクの対応は受容/回避/軽減/移転のどれか」「この侵害はGDPR/HIPAAで何時間以内に通知か」を問う（Unit_10_確認問題.md と連動）。