情報セキュリティマネジメント試験情報＆徹底解説

マルウェア感染への対応に関する次の記述を読んで，設問1～3に答えよ。

　T社は従業員数200名の建築資材商社であり，本社と二つの営業所の3拠点がある。このうち，Q営業所には，業務用PC(以下，PCという)30台と，NAS1台がある。
　PCは本社の情報システム課が管理しており，PCにインストールされているウイルス対策ソフトは定義ファイルを自動的に更新するように設定されている。
　NASは，Q営業所の営業課と総務課が共用しており，課ごとにデータを共有しているフォルダ(以下，共有フォルダという)と，各個人に割り当てられたフォルダ(以下，個人フォルダという)がある。個人フォルダの利用方法についての明確な取決めはないが，PCのデータの一部を個人フォルダに複製して利用している者が多い。
　Q営業所と本社はVPNで接続されており，営業所員は本社にある業務サーバ及びメールサーバにPCからアクセスして，受発注や出荷などの業務を行っている。
　なお，本社には本社の従業員が利用できるファイルサーバが設置されているが，ディスクの容量に制約があり，各営業所からは利用できない。
　T社には，本社の各部及び各課の責任者，並びに各営業所長をメンバーとする情報セキュリティ委員会が設置されており，総務担当役員が最高情報セキュリティ責任者(以下，CISOという)に任命されている。また，情報セキュリティインシデント(以下，インシデントという)対応については，インシデント対応責任者として本社の情報システム課長が任命されている。さらに，本社と各営業所では，情報セキュリティ責任者と情報セキュリティリーダーがそれぞれ任命されている。Q営業所の情報セキュリティ責任者はK所長，情報セキュリティリーダーは，総務課のA課長である。

〔マルウェア感染〕
　ある土曜日の午前10時過ぎ，自宅にいたA課長は，営業課のBさんからの電話を受けた。休日出勤していたBさんによると，BさんのPC(以下，B-PCという)を起動して電子メール(以下，メールという)を確認するうちに，取引先からの出荷通知メールだと思ったメールの添付ファイルをクリックしたという。ところが，その後，画面に見慣れないメッセージが表示され，B-PCの中のファイルや，Bさんの個人フォルダ内のファイルの拡張子が変更されてしまい，普段利用しているソフトウェアで開くことができなくなったという。これらのファイルには，Bさんが手掛けている重要プロジェクトに関する，顧客から送付された図面，関連社内資料，建築現場を撮影した静止画データなどが含まれていた。そこで，Bさんは図1に示すT社の情報セキュリティポリシー(以下，ポリシーという)に従ってA課長に連絡したとのことであった。
　A課長は，B-PCにそれ以上触らずそのままにしておくようBさんに伝え，取り急ぎ出社することにした。　A課長がQ営業所に到着してB-PCを確認したところ，画面にはファイルを復元するための金銭を要求するメッセージと，支払の手順が表示されていた。A謀長は，B-PCがマルウェアに感染したと判断し，K所長に連絡して，状況を報告した。この報告を受けたK所長は，インシデントの発生を宣言した。また，Bさんは，A課長の指示に従ってB-PCとNASからLANケーブルを抜いた。
　さらに，A課長がBさんに，他に連絡した先があるかを尋ねたところ，A課長以外にはまだ連絡していないとのことであった。そこで，A課長はインシデント対応責任者である情報システム課長に連絡したところ，情報システム課で情報セキュリティを主に担当しているS係長に対応させると言われた。そこで，A課長はS係長に連絡し，現在の状況を説明した。
　S係長によると，状況から見てaと呼ばれる種類のマルウェアに感染した可能性が高く，①この種類のマルウェアがもつ二つの特徴が現れているとのことであった。A課長はS係長に，今後の対応への協力と当該マルウェアに関する情報収集を依頼し，S係長は了承した。その後，A課長が状況の調査を更に進めていたところ，昼過ぎにK所長がQ営業所に到着したので，A課長はその時点までの調査結果をK所長に説明した。調査結果を図2に示す。〔感染後の対応〕
　K所長とA課長は，金銭の支払に応じるべきか否かはQ営業所だけで判断できることではないが，それぞれの場合に想定される被害及び費用の項目は一応把握しておきたいと考えた。そこで，"支払った場合にはデータを確実に復元できるが，支払わなかった場合にはデータを復元できない可能性が高い"という前提の下で想定される被害及び費用の項目を，表1のI～Ⅲに分けてリストアップした。　折よく，当該マルウェアに関する情報収集を行っていたS係長から，他社での対応事例の報告があった。これを受け，K所長とA課長は，表1作成時の前提を置かずに③対応について検討することにし，その結果を情報セキュリティ委員会に報告してCISOの判断を仰ぐことにした。

　夕方になって，本社で調査を行っていたS係長からA課長に連絡があり，今朝のマルウェア感染以降，Q営業所のネットワークから本社や外部への不審な通信は行われていないことが分かった。また，業務で利用している本社のサーバにも特に異常は見られなかったという。
　これまでの調査から，被害はB-PC及びBさんの個人フォルダ内のファイルだけであったとA課長は判断し，Bさん用の新たなPCを準備するようS係長に依頼した。
　翌日の日曜日の朝，ウイルス対策ソフトの開発元から新たな定義ファイルが提供され，B-PCが感染していたマルウェアの検知と駆除が可能になった。そこで，その日の午後にT社の全てのPC，サーバ及びQ営業所のNASに対してマルウエアのスキャンを行ったところ，B-PC以外にマルウェアに感染していたものはなかった。また，暗号化されていたNAS上のデータに関しては，NASのデータのバックアップは実施されていなかったものの，NASの復元領域から一部を復元できることが判明し，業務への影響はある程度抑えることができた。

〔対策の見直し〕
　今回のインシデントを受けて，T社の情報セキュリティ委員会が開催された。A課長は，CISOから，今回のインシデントに関する問題点は何かと尋ねられた。A課長は，④データの取扱い及びバックアップに関するルールの内容が不十分であったことが問題点であったと回答し，次のことを提案した。

• データの取扱い及びバックアップに関するルールを全面的に見直し，全社的なルールを定めること
• 本社のファイルサーバの容量拡大を早急に実施し，全社共通の利用ルールを定め，それに基づいて各営業所からも利用できるようにすること
• 営業所でのNASの利用は半年以内に廃止すること
• NASの利用を暫定的に継続する間は，営業所では⑤今回の種類のマルウェアに感染することによってファイルが暗号化されてしまうという被害に備えたバックアップを実施し，あわせて⑥バックアップ対象のデータの可用性確保のための対策を検討すること

　これらの提案は情報セキュリティ委員会で承認された。T社はマルウェア感染を契機として情報セキュリティの改善を図ることになった。

設問1

〔マルウェア感染〕について，(1)～(3)に答えよ。

(1) 本文中及び図2中のaに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

設問2

〔感染後の対応〕について，(1)，(2)に答えよ。

(1) 表1中のb，cに入れる字句を，解答群の中から選べ。ここで，次の[項目1]～[項目5]は，解答群の[項目1]～[項目5]と対応するものとする。

[項目1] 攻撃者から要求されている金額
[項目2] 再発防止に要する金額
[項目3] 自力でのデータ復元の試みに要する金額
[項目4] 犯罪を助長したという事実に起因する企業価値の損失
[項目5] マルウェアに感染したという事実に起因する企業価値の損失

設問3

〔対策の見直し〕について，(1)～(3)に答えよ。

(1) 本文中の下線④の直接的な結果として，何が起きたか。解答群の中から二つ選ベ。