令和4年度 ITパスポート試験 公開問題 問100
テクノロジセキュリティ管理インシデント対応・CSIRT・フォレンジックス
社内に設置された無線LANネットワークに接続している業務用のPCで，インターネットのあるWebサイトを閲覧した直後，Webブラウザが突然終了したり，見知らぬファイルが作成されたりするなど，マルウェアに感染した可能性が考えられる事象が発生した。このPCの利用者が最初に取るべき行動として適切なものはどれか。
解答・解説
正解: ウ. 無線LANとの通信を切断し，PCをネットワークから隔離する。
マルウェアに感染した可能性がある場合に最初に取るべき行動は、被害の拡大（社内ネットワーク上の他の端末への感染拡大や、外部の指令サーバーとの通信による情報漏えいなど）を防ぐために、PCをネットワークから隔離することです。
本問のケースでは、PCは無線LANネットワークに接続されているため、まずは無線LANとの通信を切断することが初動対応として最も適切です。
各選択肢の解説
- ア：Webブラウザの再インストールは、ブラウザ単体の不具合には有効な場合がありますが、マルウェア感染の根本的な解決や被害拡大の防止にはつながらないため、初期対応としては不適切です。
- イ：マルウェア対策ソフトの定義ファイルを最新にすることは感染駆除のために重要ですが、ネットワークに接続したまま行うと、更新の処理中に他のPCへ感染が広がるなど被害が拡大する恐れがあります。まずはネットワークからの隔離を優先すべきです。
- ウ：正解です。二次被害を防ぐための初動対応として、ネットワークからの隔離が最も重要です。
- エ：無線通信の暗号化方式の変更は、無線LANの盗聴や外部からの不正アクセス防止には有効ですが、すでにPC内部で動作しているマルウェアの活動を止める対応としては意味がありません。