ある部門のPCで、ウイルス対策ソフトが同じ種類のマルウェアを検知・駆除する事象が 3か月で十数件あった。どれもインシデントとして記録され、駆除を確認して終了しており、 感染の広がりは見られない。この記録を見た情報セキュリティ担当者の対応として、 最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア繰り返し起きている事実を問題として記録し、侵入の経路などの根本原因を調べて再発を防ぐ処置を決める。

   正解。個々の駆除で終わらせず、インシデントの傾向から問題を特定して 根本原因を調べるのが問題管理です。持込みの記憶媒体なのか、特定のメールなのか、 入り口を突き止めない限り同じ検知は続きます。

2. イ各件は駆除で解決済みなので記録は終了のままとし、次に検知されたときも同じ手順で駆除して終える。

   誤り。インシデント管理としては正しい終わらせ方ですが、それはサービスを元に戻す 活動だからです。同じ事象が十数件そろっていること自体が、共通の原因があることを 示しています。インシデント管理の範囲で止めると、入り口が開いたままになります。

3. ウ重大なインシデントとして扱い、原因が分かるまで部門のPCをすべてネットワークから切り離す。

   誤り。重大なインシデントは、影響が大きく通常とは別の手順で緊急に扱う事象です。 今回はどれも駆除が確認され、広がりも見られないので、部門の業務を全面的に 止める状況ではありません。原因の調査は、業務を続けながら問題管理で進められます。

4. エ駆除作業をサービス要求として定型の手順にし、検知のたびに利用者がサービスデスクへ依頼する形にする。

   誤り。サービス要求は、パスワードの再設定や機器の貸出しのように、あらかじめ 想定された利用者からの依頼です。マルウェアの検知はサービスの中断や品質低下に 当たるインシデントで、定型の依頼に組み替えても原因は残ります。

理解を深めるために