ITパスポート 2017年 春期 問82

企業内で不審な添付ファイルを開いてPCがウイルス感染の挙動を示したときの対応【ITパスポート 解説】

正解の理由

• 「ネットワーク」とは、他のPCやサーバ（サービスを提供するコンピュータ）、インターネットとつながる仕組みです。接続を切ることで、ウイルスが社内の他の機器や外部の攻撃者と通信して広がるのを防げます。
• システム管理者は社内のセキュリティ対策や復旧手順を知っています。素人判断で操作すると証拠を消したり、被害を拡大したりします。まず専門家に伝えるのが安全です。
• 初動で「隔離（isolating）」してから、ログの保存やフォレンジック（痕跡収集）など適切な調査・対処が行われます。これが被害最小化と再発防止につながります。

解法ステップ

1. すぐにPCをネットワークから切り離す
   • 有線LANならケーブルを抜く。無線（Wi‑Fi）ならWi‑Fiを切るかPCの無線をオフにする。VPN接続も切断する。
   • 「電源を切る」かどうかは状況次第ですが、勝手に強制シャットダウンするとログなどの証拠が失われる場合があります。まずはネットワーク切断が原則です。
2. 操作履歴をメモする
   • どのメールを開いたか、添付ファイル名、開いた時間、その後に行った操作（再起動やウイルススキャンなど）を時刻付きで記録します。
3. 直ちにシステム管理者（またはセキュリティ担当）に連絡する
   • 発生時刻・状況・メモした内容を正確に伝えます。管理者の指示に従ってください。
4. 指示があるまでPCを操作しない
   • ファイルを開いたり、ログインしたり、外部メディア（USB等）を接続しないでください。管理者が指示した検査・隔離・復旧手順に従います。

選択肢別の誤答解説

• ア: ウイルス定義ファイルを最新にし、ウイルスの検査と駆除を行う。
  • ウイルス定義ファイルとは、ウイルス対策ソフトがどのような悪意あるファイルを検知するかを知らせるデータです（英語：virus definition）。これ自体は有効ですが、ネットワーク接続を切らずに検査を始めると、マルウェアが外部と通信して被害を広げたり、検査の間にデータを盗まれる恐れがあります。まずは隔離が優先です。
• イ: その電子メールを削除し、PCを再起動する。
  • メールの削除や再起動だけでは不十分です。再起動でマルウェアが永続化（自動起動）する設定を有効にする場合もありますし、削除しただけでは関連する悪意あるファイルや設定、通信は残ります。重要なログや証拠を失う恐れもあります。
• エ: ハードディスクを初期化の上、OSを再インストールする。
  • ハードディスクを初期化（フォーマット）し、OS（Operating System：基本ソフト）を再インストールするのは確実な復旧手段に見えますが、初動としては過剰です。まずは隔離と証拠保全を行い、管理者や専門家が被害範囲を確認してから実施するのが適切です。勝手に初期化すると証拠を消してしまい、原因追及や再発防止が困難になります。

よくある誤解

1. 「ウイルススキャンをすればすぐ直る」
   • ウイルススキャンは有効ですが、感染が広がるリスクを先に止めなければ意味が薄くなります。また、既に隠れた悪質な変更（ログイン情報の流出など）が起きている可能性があります。
2. 「再起動して問題が消えたら大丈夫」
   • 再起動で一時的に症状が消えても、悪意ある設定や常駐プロセスが残っている場合があります。再発や情報漏えいのリスクが残ります。
3. 「個人の判断で初期化すれば速い」
   • 速いように見えても、証拠や攻撃の広がりを確認できず、組織全体の対応が遅れることがあります。管理者へ報告して指示を仰ぐべきです。

補足コラム

• ランサムウェア（ransomware）という種類のマルウェアは、開いた直後にファイルを暗号化して被害を広げます。こうしたケースでは「ネットワーク切断＝即時隔離」が特に重要です。
• 証拠保全のポイント：スクリーンショット、該当メールのヘッダ（送信元情報）、添付ファイル名、実行した操作の時刻を記録しておくと管理者の対応が早くなります。
• 社内での事前準備：インシデント発生時の連絡先（システム管理者・CSIRT等）や手順書を普段から確認しておきましょう。

FAQ