重要度：B 論点：封じ込め・根絶の区別
問6：感染端末をネットワークから隔離する措置は主に封じ込めに当たり、原因となったマルウェアや脆弱性を除去する措置は主に根絶に当たる。
解答を見る
○：封じ込めは被害の拡大を止める段階、根絶は侵入の原因や不正なプログラムを取り除く段階である。両者を区別し、原因が残っていないことを確認してから復旧へ進む。
重要度：B 論点：複数の記録による原因分析
問7：インシデントの原因分析では、利用者の説明だけで原因を確定し、操作記録やアクセス記録を確認する必要はない。
解答を見る
×：原因分析では、操作記録、アクセス記録、端末情報、ネットワーク記録、設定情報、関係者への確認など複数の情報を関連付けて原因を切り分ける。推測だけで断定すると、誤った復旧や再発防止につながる。
重要度：C 論点：テイクダウン
問8：テイクダウンとは、自社のファイアウォールで攻撃元やフィッシングサイトへの通信を遮断する措置だけを指し、サイト管理者や関係機関への停止依頼は含まれない。
解答を見る
×：テイクダウンは、攻撃に使われているサーバやフィッシングサイトなどを停止・閉鎖させ、攻撃基盤そのものを無力化する措置である。自社のファイアウォールによる通信遮断は自組織を守る対策だが、サイト自体の稼働停止ではない。サイト管理者、ホスティング事業者、ISP、JPCERT/CCなどへ協力を依頼する場合がある。
重要度：C 論点：縮退運用
問9：縮退運用とは、障害の原因が判明するまで、関係する全てのシステムを停止して待機する運用である。
解答を見る
×：縮退運用は、被害を受けた機能や停止させた機能を切り離し、業務上の優先度が高い機能だけを限定的に動かし続ける運用である。全面停止ではなく、機能を落としてでも継続する点が本質であり、RLOやサービス継続、重要業務の優先復旧を理解するための補助概念として押さえる。
重要度：C 論点：公表の権限と連携
問10：重大な情報漏えいが疑われる場合でも、部門の担当者が独自の判断で公表の内容と時期を決定してよい。
解答を見る
×：対外公表は、経営層・法務・広報・個人情報保護の担当などと連携して組織として決定する。その際、確認済みの事実と未確認の事項を区別し、二次被害の防止、法令・契約上の義務、捜査や証拠保全への影響を考慮する。担当者の独断による公表は、誤情報の発信や法的リスクにつながる。
コメント