某員工的電腦上，檔案的副檔名接連改變，並顯示要求贖金的畫面。這位員工首先應採取的最適當處置是哪一項？

正確答案：A. 拔除網路線、關閉無線網路等，使電腦與網路隔離，記錄畫面狀態等資訊後，立即向指定的窗口（CSIRT等）通報

懷疑感染勒索軟體時，首先要與網路隔離，以免損害擴散到其他電腦或檔案伺服器。接著記錄顯示的畫面、發現的時間、之前開啟的電子郵件或檔案等，並迅速向組織指定的窗口（CSIRT或資訊部門）通報。是否關閉電源，因為可能會失去記憶體中的調查線索，要依組織的程序或窗口的指示。立即初始化會失去調查入侵途徑、以及還有什麼被竊取的線索（日誌與檔案中的痕跡），並留下從同一入口再次被入侵的風險。延遲通報則會讓損害在這段期間擴大。調查時要比對各設備的日誌，依時間順序重建發生的事，因此平時就要讓各設備的時間一致（NTP等），並把日誌保存在不易被竄改的其他地方一定期間，這很重要。

• A. 正確。阻止損害擴大、記錄狀況，並立即向指定的窗口通報。
• B. 立即初始化會失去追查入侵途徑等的線索，可能在原因不明的情況下再次被入侵。
• C. 想自行處理而延遲通報，損害可能在這段期間於組織內擴大。