社内の多数のPCで使っているソフトウェアについて、開発元が重大な脆弱性を修正する プログラムを公開した。情報システム担当者の対応として、最も適切なものはどれか。

正解：ウ

1. ア実際に攻撃を受けた形跡が社内で確認できてから、適用するかを判断する。

   誤り。修正プログラムの公開は、その弱点の存在が広く知られる合図でもあります。 攻撃者は公開内容を手掛かりに悪用の方法を組み立てるため、形跡が出るのを 待つ運用では、気づいた時点で被害が広がっています。

2. イ業務への影響を避けるため、端末を入れ替える時期まで適用を見送る。

   誤り。影響を心配すること自体は正しいのですが、入替えまでの数か月間、 弱点をそのまま抱え続けることになります。心配なら見送るのではなく、 検証環境で確かめてから当てる、と進めるのが対策の考え方です。

3. ウ開発元や公的機関の情報を定期的に確認し、該当する端末へ速やかに適用する。

   正解。脆弱性対策は「情報を取りにいく」ことと「速やかに当てる」ことの 両輪です。どのソフトを何台で使っているかを把握していれば、適用の要否を その場で判断できます。

4. エ適用するかどうかの判断を、端末を使う利用者それぞれに任せる。

   誤り。判断を各人に任せると、当てた端末と当てていない端末が混在します。 攻撃者は一番弱い1台を探すので、社内に1台でも残れば侵入口になります。 適用状況は組織として把握し、管理する対象です。