OWASP Top 10:2025とは — 主要リスクと開発・運用の確認方法

OWASP Top 10とは：Webアプリの主要リスクを共有する資料

OWASP Top 10は、Webアプリケーションの主要なセキュリティリスクを説明する啓発資料です。本ページは2025版の公式一覧を基に、開発・運用で確認する観点を整理します。

上位10項目を点検しただけで「脆弱性がない」とは言えません。個別の検証要件はOWASP ASVSなどと、アプリの機能・脅威・データに照らして決めます。

2025版の10カテゴリ

番号	公式の英語名称	防御側の確認例
A01	Broken Access Control	対象データ・操作ごとのサーバー側認可
A02	Security Misconfiguration	公開範囲、不要機能、エラー表示、既定設定
A03	Software Supply Chain Failures	依存関係、ビルド、配布、変更の信頼性
A04	Cryptographic Failures	データ保護、鍵管理、適切な暗号方式
A05	Injection	入力と処理命令の分離、文脈に合う出力処理
A06	Insecure Design	設計時の脅威と業務上の悪用の検討
A07	Authentication Failures	認証、登録・復旧、セッション管理
A08	Software or Data Integrity Failures	ソフトウェアやデータの完全性確認
A09	Security Logging and Alerting Failures	必要なログ、通知、調査への接続
A10	Mishandling of Exceptional Conditions	エラー時の権限・処理・情報公開

順位は、自社の緊急対応順をそのまま示すものではありません。実際の影響、公開状態、悪用情報、業務依存で優先順位を決めます。旧版から名称が変わっている項目もあるため、レビュー記録に参照版を残してください。

開発者がまず確認すること

• 認証済みでも、操作やデータごとに認可を検証しているか。
• 入力値をSQL等の命令へ直接連結していないか。パラメータ化などの安全なAPIを使うか。
• 依存関係と配布物の出所、更新、署名・整合性の確認があるか。
• 認証や外部APIの障害時に、アクセスを無条件に許可しないか。
• エラー表示やログへ、トークン・パスワード・個人情報を不用意に出していないか。
• アラートが担当者へ届き、確認・対応の手順へつながるか。

SBOMは部品の把握を助けますが、存在するだけで安全を証明しません。検出した脆弱性は利用条件と影響を照合します。WAFも、アプリの認可や入力処理を修正する代わりにはなりません。

レビューから修正確認まで

• 対象を決める

  機能、利用者、データ、信頼境界、参照版を記録。

• 根拠を残す

  設計、設定、ログ、取得済みの試験結果と未確認事項を分ける。

• 修正を確かめる

  原因の修正、正規機能の動作、再発検知を確認。

情シス・運用担当者の初動

疑わしい挙動があれば、資産所有者、対象機能、公開範囲、発生時刻、変更履歴、ログを集めます。不正アクセスが疑われる場合は、インシデント対応と並行して、責任者がアクセス制限や停止の影響を判断します。

報告には「該当カテゴリ」だけでなく、確認した事実、利用条件、影響、修正責任者、期限、再確認結果を残します。攻撃の再現や実データの取得を行わなくても、防御レビューはできます。

関連する学習

Webアプリの防御確認、認証と認可の違い、SBOM・OSVによる確認、安全な開発へ進めます。