認可された情報主導型のテストフレームワーク内であっても、適用されるデータ保護法（GDPRなど）は引き続き適用され、専門家や規制当局の期待によって強化された適切な慣行は、データ最小化を適用し、もっともらしく現実的なシナリオをサポートするために真に必要なものだけを収集および報告し、偶発的に発見された機密性の高い個人データは適切かつ比例的に処理することです。発見されたすべての個人データを「完全性のため」に無差別に含めること（C）は最小化の原則に違反し、調査結果を第三者に一方的に公開すること（B）はNDAの下でプロバイダーにとって適切または認可された行為ではなく、TIBER-EUを含むいかなるテストフレームワークも、基礎となるデータ保護法（D）を覆すものではありません。

体系的な教訓レビューは、スコープ設定、ガバナンス、コミュニケーション、技術提供など、あらゆる側面でうまくいった点と改善できる点を体系的に把握することで、真のガバナンス価値を提供します。これは、組織と、真のパートナーシップが存在する場合にはプロバイダーの両方にとって、より強力なガバナンスとより適切に設計された将来の取り組みに直接つながります。これは、価値のないものではなく、価値ある実質的な実践です（A）。建設的な教訓プロセスは、個人の責任ではなくシステム全体の改善に焦点を当てます。個人の責任は、問題の正直な開示を促すのではなく、むしろ抑制する傾向があります（D）。また、このようなレビューは、深刻な問題が発生した時だけでなく、成功したか否かにかかわらず、あらゆる取り組みの後に価値があります（B）。円滑に進んだ取り組みでも、通常は有用で実行可能な洞察が明らかになります。

クライアントのガバナンス層（内部リスクの所有権と承認を行使するコントロールグループ）とプロバイダー自身の内部ガバナンス（プロジェクト管理、技術品質保証、納品監視）を明確に区別することで、各当事者の具体的な責任が適切に理解され、ギャップや重複作業が回避され、全体として十分に調整され、効果的に管理されたエンゲージメントがサポートされます。これらは真に異なる補完的な機能であり、同じものではありません（C）。両方の層は、成功し、適切に管理されたエンゲージメントにとって非常に重要です。どちらかの側のガバナンスの役割を無関係として無視することは（BまたはD）、これらのエンゲージメントが、委託クライアントと納品プロバイダーの両方による強力なガバナンスが協力して機能することに実際に依存していることを理解していません。

英国のGDPRおよび2018年データ保護法は、レッドチームが活動中に偶発的に遭遇、収集、または生成する可能性のあるデータ（従業員の認証情報、顧客記録、侵害の証拠として抽出された個人データなど）を含む個人データの処理方法を規定しており、データ最小化、目的制限、適切なセキュリティなどの原則の適用を求めています。コンピュータ不正使用法（D）は、データ保護ではなく不正アクセス/行為を具体的に扱っており、2010年贈収賄法（B）は、テスト活動とは無関係の汚職犯罪を扱っており、2006年会社法（A）は、セキュリティテスト中の個人データの取り扱いではなく、企業管理および報告を規定しています。