設問２（２）について、どなたかご教示願います。

被害の拡大を防止するという目的の対処に関して、解答例は「上書きされたイメージを削除する」とあります。
「レジストリサーバをネットワークから切り離す」という回答では０点なのだろうな、という思いもありながら、たとえば「マルウェア感染拡大を防止する」ための対処としてはよくこの解答となっているかと思います。
「ゲームイメージが上書きされた」という記述から、この解答を導出するという理解が重要なのでしょうか。

よろしくお願いいたします。

この設問を解答するには、情報セキュリティのCIAを強く意識する必要があります。
CIAとは
・機密性(Confidentiality)
・完全性(Integrity）
・可用性(Availability)
の3つです。

M社はオンラインゲーム事業者です。M社のサーバ群はそれ自体がユーザにサービスを
直接提供しており、同時にお金を生み出しています。
逆にサーバが利用できないとなると、
・ユーザーからのクレーム
・場合によっては損害賠償
など重いペナルティが発生します。
そのため、M社において情報セキュリティのCIAのうち、可用性(Availability)が最も
重視すべき項目となっております。

スレ主様の解答「レジストリサーバをネットワークから切り離す」は、CIAのうち
機密性(Confidentiality)を重視した対応となっております。
ですが、レジストリサーバをネットワークから切り離すとM社のオンラインゲーム事業が
停止してしまいます。
前述したとおり、M社のビジネスモデルとして業務継続は企業としての最優先事項です。
そういった背景を踏まえると、速やかに問題を除去し、可用性(Availability)を
確保するという意味から、「上書きされたイメージを削除する」が適切と考えられます。

>たとえば「マルウェア感染拡大を防止する」ための対処としてはよくこの解答と
>なっているかと思います。
>「ゲームイメージが上書きされた」という記述から、この解答を導出するという
>理解が重要なのでしょうか。
上にも書いた通り、その企業、団体の形態によって重視すべきCIAは変化します。
・ユーザーの個人情報などを扱っている場合は、機密性(Confidentiality)
・重要なデータベースを扱っている場合は、完全性(Integrity）
・工場などの精算ラインのシステムの場合は、可用性(Availability)
というようにシチュエーションによって変わります。
よくある間違いが、過去問で類似たものをみたことがあると思って解答してしまうと、
重視すべきCIAが違っており、ポイントを外した解答となってしまうことです。

解答する際は都度、問の最初の概要をよく理解し、何を重視すべきかを念頭において
みてください。

早速のご回答、誠にありがとうございます！
できましたら、その点、もう少し突っ込んだ内容を教えていただけますでしょうか。

可用性という点を念頭においた場合、このケースではLBメンバをゲームサーバ３、４にしていますので、サービスは継続されているものと考えました。
バージョンアップは優先度を下げて、サービス提供は縮退して継続しながら、ゲームサーバ１、２での調査をするという理解のもと、ここは切り離すべきではないか、という考えとなります。

くどくて申し訳ございません。pix様のご指摘の通り、よく他の過去問の例が邪魔をするケースがありまして。ただここを乗り越えないと合格への見通しがなかなか立たずと思いまして。お付き合いいただけますと幸いです。

たしかにゲームサーバ3,4で縮退するのはほんの短期間なら可能だと思います。
ここからは一般論になってしまいますが、昨今のオンラインゲーム事業者は
日々新バージョンのリリースがスケジュールされていると想定されます。
一般の企業のサービスとちがうのは、ユーザー数の規模の違いです。
数千から場合によっては数百万ユーザーがいる可能性があるということです。
リリースが一回でも送れるだけで、なんらかの高額な金銭的補填が発生する
ことになると思われます。

このような状況を想像するとマルウェアの調査よりも、縮退運転をすぐにでも
通常運転に復帰するほうが重要と捉えました。

レジストリサーバがないとサービスができないのであれば、レジストリサーバも本番LAN環境に配置するでしょうね。
ユーザが数千から数百万もいるのにゲームサーバがわずか4台ということはないでしょう
2台のサーバで十分にサービスが提供できるので、可用性を考慮した上でサーバが4台だと考えるのが普通だと思います。
仮に2台のサーバではサービスを提供できないとしても、契約上、事業者側の都合でサービスを中断する可能性があることに同意を得ておくはずなので、直ちに損害賠償が発生する心配をする必要もないでしょう。そのために会社には法務担当がいるのです。まあ課金アイテムを無償で配るぐらいのことはするかもしれませんけどね

> マルウェアの調査よりも、縮退運転をすぐにでも通常運転に復帰するほうが重要と捉えました。
安全確保支援士として、あり得ない発想ですね

当該設問は考える能力を問うのが目的でしょうから、正解が1つしかない設問のようなゼロイチの採点はないと思います。
対策案の「有効性」「所要コスト」「新たな脆弱性を生じない」を考慮して加減点されると想像します。

スレ主さんの対策案は判明している被害に対して所要コストが過大ですので、個人的には最低レベルの部分点が妥当かと思います。

pix様、通りすがり様、橙色文書様、コメントありがとうございます。
まずは、私のコメントに対してこのように反応いただき、感謝申し上げます。

それぞれ参考になりましたし、いろんなコメントで書かれているように、IPAの回答に近づけるような、考え方も含めた訓練が必要なのだとあらためて感じました。

パターンとしてはしっかり頭に入れながらも、考え方も意識した取り組みを継続していきたいと思います。