問94
頻出度★★★
職場のPCを使用していたところ，ウイルス対策ソフトでウイルスを検出した旨のメッセージが表示された。このPCで直ちに行うべきこととして，適切なものはどれか。
平成29年度 秋期 ITパスポート試験 問94
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 94
不正解ア
PCの再起動は誤り。再起動しても感染そのものは除去できず、起動時に自動実行されるマルウェアを再度動かしてしまう恐れがある。またメモリ上に残る痕跡（揮発性の証拠）が失われ、原因調査を難しくする。拡大防止にもならない。
不正解イ
電子メールによる職場内への通知は誤り。メール送信は感染したPCのネットワーク接続を使う行為であり、切断より先に行うべきではない。感染したPC経由でウイルスを添付・拡散させる危険もある。関係者への連絡・報告は必要だが、まず隔離してから別の手段で行うべきで「直ちに行うべきこと」ではない。
- ウ
正解 ウが正解。ウイルス感染（またはその疑い）を検知したとき、まず最優先で行うべきは「感染の拡大防止＝隔離」である。PCをネットワークから切断すれば、社内の他のPCやサーバへのウイルス伝播、および外部への不正通信（遠隔操作・情報の持ち出し）を即座に断ち切れる。被害を最小限に封じ込めてから、上長への報告や駆除といった次の対応に進むのが情報セキュリティインシデント対応の基本手順である。
不正解エ
ファイルのバックアップは誤り。感染済みのファイルをそのまま複製すると、ウイルスごとバックアップしてしまう。ネットワーク上の共有先へ保存すれば感染を広げる恐れもある。バックアップは平常時に取るべきもので、感染検知直後の最優先対応ではない。
ここがポイント
- 情報セキュリティインシデント対応の初動は「拡大防止（隔離）」が最優先。ウイルス検知時はまずネットワークから切断して伝播と不正通信を止める。
- 再起動・通知・バックアップは、いずれも隔離より前に行うと被害拡大や証拠消失を招くため、封じ込めの後に実施する。
用語