問82
頻出度★★★
企業内において, 不審な相手から届いた電子メールの添付ファイルを誤って開いてしまったところ, 使用していた PC がウイルス感染を強く疑う挙動を示した。この PC の使用者がまず最初に取るべき行動として, 適切なものはどれか。
平成29年度 春期 ITパスポート試験 問82
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 82
不正解ア
ウイルス定義ファイルの更新には通常ネットワーク接続が必要で、感染したまま接続を続ければ拡散・情報流出のリスクが残る。検査・駆除は隔離と報告のあとに管理者の指示で行うべき対応であり、利用者が真っ先に取る初動としては不適切。
不正解イ
メールを削除しても既に実行された感染そのものは除去できず、証拠となる検体を失うおそれもある。また再起動は感染の拡大を止めないうえ、マルウェアによっては起動時に活動を始めるため状況を悪化させかねない。封じ込めにも報告にもならず初動として不適切。
- ウ
正解 ウが正しい。ウイルス感染が強く疑われるときの初動対応の原則は「封じ込め (被害拡大の防止)」と「報告」である。まずネットワークから PC を切り離すことで、感染がほかの PC やサーバへ広がるのを防ぎ、マルウェアが外部と通信して情報を持ち出したり指令を受け取ったりするのも遮断できる。そのうえでシステム管理者に連絡すれば、以降は組織のルールに沿って証拠保全・原因調査・駆除・復旧を専門的に進められる。利用者が自己判断で対処を続けるのではなく、隔離してから速やかに報告するのが最初の一手として最も適切。
不正解エ
ハードディスクの初期化と OS 再インストールは最終手段であり、感染の証拠・原因調査に必要なデータをすべて失う。利用者が自己判断でいきなり実施すべきではなく、被害範囲の確認や原因究明を経て組織が判断する対応。最初の行動としては行き過ぎで不適切。
ここがポイント
- 情報セキュリティインシデントの初動は「封じ込め (ネットワーク隔離で被害拡大を防止)」と「システム管理者への報告」が最優先。
- 利用者は自己判断で駆除・再起動・初期化などの対処を進めず、隔離して速やかに組織へ引き継ぐ (証拠保全と組織的対応のため)。
用語