社内で使っているソフトウェアに重大な脆弱性が見つかったと公表された。 開発元の情報を確認したところ、修正プログラムはまだ提供されておらず、 該当機能を無効にする回避策が示されていた。担当者の対応として最も適切なものはどれか。

正解：ウ

各選択肢の解説

1. ア修正プログラムがない以上は打つ手がないので、提供まで通常どおり使う。

   誤り。修正プログラムが出る前の期間こそ、ゼロデイ攻撃に狙われやすい 危険な期間です。「対策＝修正プログラム」と考えると手を止めがちですが、 回避策で被害の可能性を下げることができます。

2. イマルウェア対策ソフトの定義ファイルを更新し、脆弱性への対応を完了とする。

   誤り。定義ファイルの更新で見つけられるのは既知のマルウェアで、ソフトウェアの 弱点そのものは塞がりません。どちらも攻撃への備えなので混同しがちですが、 弱点を塞ぐのは修正プログラムや回避策です。

3. ウ示された回避策を実施し、修正プログラムが出たら速やかに適用する。

   正解。修正プログラムが出るまでは、開発元や公的機関が示す回避策で弱点を 突かれにくくします。そのうえで情報を追い続け、提供されたらすぐに 適用するのが、修正前の脆弱性への基本の対応です。

4. エソフトウェアを最新版で入れ直し、脆弱性が解消されたものとして扱う。

   誤り。修正プログラムが未提供なので、いま手に入る最新版にも同じ弱点が 残っています。「最新にすれば安全」は修正が出た後に成り立つ話で、 入れ直しても状況は変わりません。

理解を深めるために