セキュリティ方針・法的要求事項・インシデント対応・監査
業務用端末がマルウェアに感染した疑いがあり、今後フォレンジック調査を行う可能性がある場合、発見者が最初にとるべき対応として最も適切なものはどれか。
- ✓感染拡大を防ぐためにネットワークから切り離すが、証拠保全の方針が決まるまで電源はむやみに切らない
- B証拠が消える前に、直ちに端末の電源を切って持ち帰る
- Cマルウェア対策ソフトで直ちに駆除・削除を実行し、ファイルを消去する
- D特に対応せず、通常どおり利用を継続しながら経過を観察する
解説
マルウェア感染が疑われる端末は、被害拡大を防ぐためにまずネットワークから隔離することが重要である。一方で、メモリ上の情報など電源を切ることで失われる証拠があるため、フォレンジック調査の方針が固まるまでは不用意に電源を切ったり駆除ソフトを実行したりせず、証拠保全を優先すべきである。
根拠シラバス「情報セキュリティインシデント発生時の証拠の収集及び分析」「情報セキュリティインシデントへの対応」