基本情報技術者 予想問題｜B 第80問

解説

マルウェア感染時のインシデント対応は、まず感染端末をネットワークから隔離して他の端末への拡散を防ぎ、次に調査に備えてログやディスクの状態などの証拠を保全（フォレンジック）し、感染範囲を調査したうえで駆除と復旧を行い、最後に原因分析に基づく再発防止策を実施する、という流れが適切である。よってイが正解である。アの業務続行は感染拡大や情報流出を放置する最悪の対応である。ウの即時フォーマットは一見復旧を早めるようだが、原因究明や影響範囲の特定に必要な証拠を消してしまうため不適切である。エの全社ネットワークの永久停止は事業継続を損なう過剰な対応である。頻出ポイント：「隔離が先、初期化は証拠保全の後」という順序が最重要で、CSIRTの対応フェーズ（検知→封じ込め→根絶→復旧→教訓）も頻出である。