問84
頻出度★★★
業務中に受信した電子メールの添付文書をワープロソフトで開いたら，ワープロソフトが異常終了した。受け取った電子メールがウイルスを含んでいた可能性が考えられる場合，適切な処置はどれか。
平成21年度 春期 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 84
不正解ア
ネットワークからの切り離しは正しいものの、そのあと利用者の独断で OS を再インストールしてしまう点が誤りです。再インストールは原因究明に必要な証拠 (添付ファイル・ログ・感染の痕跡) をすべて消し去るため、何のウイルスだったのか、他の PC にも被害が及んでいないのかを担当部門が調べられなくなります。そもそも本当に感染しているかも未確認で、単なるソフトの不具合であれば不要な作業です。復旧手段を選ぶのは報告を受けた担当者の役割です。
- イ
正解 ウイルス感染が疑われる場合の行動原則は、(1) 被害の拡大を止める、(2) 自分で判断せず速やかに専門の担当者へ報告する、の 2 点です。イ はこの両方を満たします。まず PC をネットワークから切り離すことで、ウイルスが社内 LAN や他の PC へ広がる経路を断ち (拡大防止)、次にシステム管理部門の担当者へ速やかに連絡することで、感染の有無の確認・駆除・全社への正しい注意喚起・必要に応じた外部への届出といった以降の対応を、権限と知識をもつ担当者に引き継げます。また PC の状態をそのまま残して報告するため、原因調査に必要な証拠 (問題の添付ファイルやログ) も保全されます。利用者に求められるのは「切り離して、すぐ知らせる」までであり、その先の判断は担当部門の役割です。
不正解ウ
再発するか確かめるために、もう一度その添付文書を開こうとする行為は、感染の機会を自ら繰り返すことになり最も危険です。ネットワークにつないだままなので被害が他へ広がるおそれもあります。異常終了の原因がウイルスなら、再現実験で得られるものはなく損害が増えるだけです。また、ワープロソフトの再インストールはソフトの不具合を前提とした対処であり、ウイルス感染を疑う場面での初動としては的外れです。
不正解エ
注意喚起自体は必要ですが、それを利用者が独断で社員全員へ一斉送信するのは不適切です。感染が確定していない段階の情報は不正確なおそれがあり、無用な混乱を招きます。さらに、その PC が感染していれば送信した電子メール自体がウイルスを拡散させる媒体になりかねません。全社への周知は、事実を確認したシステム管理部門が内容とタイミングを判断して行うべき事項です。加えて、この選択肢は PC をネットワークから切り離す処置に触れておらず、被害拡大の防止ができていません。
ここがポイント
- 情報セキュリティインシデント発生時の初動は「被害拡大の防止 (ネットワークからの切り離し)」→「速やかな報告 (システム管理部門への連絡)」の順。一般利用者は自己判断で復旧・調査・周知を行わず、専門部門へ引き継ぐ。
- OS やソフトの再インストール、現象の再現確認は、感染の証拠を消したり被害を拡大させたりする。原因調査のため PC は現状のまま保全し、対処方法の決定は担当部門に委ねる。
用語