ITパスポート 2025年 問92

従業員が使用するPCがランサムウェアに感染した場合の損害を軽減する対策例【ITパスポート 解説】

正解の理由

• ランサムウェアは接続されているストレージを次々に暗号化するため、ネットワーク上に接続されたバックアップも巻き込まれやすい。
• ネットワークから切り離した（オフライン／エアギャップされた）バックアップは攻撃の影響を受けにくく、復旧の根本手段になる。

解法ステップ

1. 問題文で問われている状況を把握する：従業員PCが「ランサムウェアに感染した場合」＝ファイルが暗号化されるリスクがある。
2. 「損害を軽減する」という観点で何が有効かを考える：暗号化されても元に戻せるようにする（復元手段）が必要。
3. 選択肢を比較する：
   • 復元手段を直接提供するのはバックアップであり、しかも「ネットワークから切り離して保管する」ことが重要。
4. よって、定期的でオフライン保管を行うアが最も適切と判断する。

選択肢別の誤答解説

• ア：正答。ファイルサーバのバックアップを定期的に取り、ネットワークから切り離して保管することで、感染後の復旧が可能になる。
• イ：多要素認証（MFA: Multi-Factor Authentication：複数の要素で本人確認する仕組み）は、盗まれたパスワードでの不正ログインを防ぐ有効な対策です。しかしランサムウェアはメール添付や不正プログラムの実行など別の経路で侵入・実行されることが多く、一度PC上で実行されるとMFAでは暗号化の被害を止められません。被害軽減（復旧）という観点では不十分です。
• ウ：PCのHDDを暗号化することは「保管中のデータを第三者に見られないようにする（機密性）」ための対策です。ランサムウェアは利用者がアクセスできる状態でファイルを暗号化するため、HDD暗号化は被害（データの可用性喪失）を防げません。
• エ：ログイン失敗時にIDをロックする（アカウントロック）は不正ログインや総当たり攻撃を防ぐのに役立ちます。ただし既にマルウェアがPC内部で実行されるケースでは効果がなく、感染後の損害軽減（復元）にはつながりません。

よくある誤解

1. 「多要素認証があればランサムウェア被害も防げる」
   → MFAは不正ログイン防止に強いが、メールの添付ファイルや不正サイトでユーザーが実行してしまうマルウェアには効かない点を誤解しやすいです。
2. 「暗号化＝安全＝ランサムウェア対策」
   → ディスク暗号化は盗難時の情報漏えい防止には有効ですが、ランサムウェアによるファイルの暗号化（可用性の喪失）とは目的が異なります。
3. 「バックアップは取ればそれで良い」
   → バックアップでもネットワーク接続された状態だとランサムウェアに破壊・暗号化されることがあるため、「オフライン保管」「バージョン管理」「定期的な復元テスト」が重要です。

補足コラム

• 3-2-1ルール：3つのコピーを、2種類のメディアに、1つはオフサイト（ネットワークから切り離す）で保管する。
• オフライン（エアギャップ）やイミュータブル（変更不可）な保存先を用意する：クラウドでも「改ざん不可（WORM）」やバージョン管理をサポートするサービスがある。
• バックアップは「取る」だけでなく「復元する」ことを定期的にテストする。復元手順や時間（RTO）・許容データ損失（RPO）を決めておく。
  • RTO（Recovery Time Objective）：復旧にかけてよい最大時間
  • RPO（Recovery Point Objective）：復旧時に許容できる最新データとの差（データ損失量）
• 併用すると効果的な対策：エンドポイントの検知対策（EDR: Endpoint Detection and Response：端末上の脅威を検知・対応する仕組み）、最小権限（必要以上のアクセス権を与えない）やネットワーク分離。

1. 定期的なオフラインバックアップの導入と復元テスト
2. EDRやウイルス対策の導入・更新
3. メール教育（フィッシング対策）と権限管理
4. MFAやアカウントロックなどのアクセス制御（侵入防止の補助）

FAQ