工場の生産ラインを制御するPCのOSに脆弱性が公表された。制御用ネットワークはインターネットに 直接つながっていないが、事務用ネットワークとは接続している。装置メーカーは修正プログラムの 動作を未検証で、ラインを止められるのは3か月後の定期保守だけである。 この間の対応として、最も適切なものはどれか。

正解：エ

各選択肢の解説

1. ア事務用のPCと同じく、修正プログラムを公表された日のうちに適用する。

   誤り。事務用のPCなら速やかな適用が基本ですが、制御用のPCは装置と組み合わせて 動作が保証されています。未検証の修正を稼働中に当てると、装置が止まったり誤動作したり するおそれがあり、生産や安全に直接響きます。

2. イインターネットに直接つながっていないので、定期保守まで対策は要らない。

   誤り。この工場では事務用ネットワークとつながっているので、事務用のPCが感染すれば そこから届きます。USBメモリや保守用のPCを経由して持ち込まれることもあり、 インターネットにつながっていないことは安全の理由になりません。

3. ウ修正を適用できるまでラインを止め、生産の継続より情報の保護を優先する。

   誤り。制御システムでは、止めずに安全に動かし続けること（可用性）が特に重視されます。 通信を絞るなど修正の代わりにリスクを下げる手段があるのに、3か月ラインを止めるのは 事業への影響が大きすぎ、釣り合いを欠きます。

4. エ事務用ネットワークとの通信を必要な分に絞り、検証後に定期保守で適用する。

   正解。すぐに修正できない間は、制御用ネットワークを事務用から切り分けて、 届く経路を減らすことでリスクを抑えます。修正はメーカーの検証を待ち、 ラインを止められる定期保守で適用します。

理解を深めるために