OWASP Top 10とは（全体像）
OWASP Top 10とは、OWASPという団体が公表している、Webアプリケーションで特に重大な脆弱性（セキュリティ上の弱点）を、トップ10にまとめたリストのことだ。Webアプリを作る人にとって、押さえておくべき「弱点の注意リスト」になる。
OWASP（Open Worldwide Application Security Project）は、セキュリティを良くするために活動する、非営利のコミュニティだ。
ここで一番のポイント。OWASPは、政府機関ではなく、非営利のコミュニティだ。「OWASPは国が運営する公的機関だ」と思い込むと誤りで、世界中の有志が参加する団体が公表している。
詳しく：上位の脆弱性と、更新
ここが心臓部。ポイントを表で押さえよう。
OWASP Top 10のポイント
| 項目 | やさしい意味 |
|---|---|
| OWASP Top 10 | Webアプリの代表的な脆弱性トップ10 |
| 公表元 | OWASP（非営利のコミュニティ） |
| 上位の例 | アクセス制御の不備・インジェクション |
| 更新 | 数年ごとに見直される |
リストの上位には、アクセス制御の不備（本来できないはずの操作ができてしまう）や、インジェクション（SQLインジェクションなど、不正な命令を注入される）といった、よくある弱点が並ぶ。
ここで一番のポイント。OWASP Top 10は、数年ごとに更新される。「OWASP Top 10は、一度決めたらずっと同じだ」と思い込むと誤りで、Webの状況の変化に合わせて見直される。
わかりやすく言い換えると
身近なたとえで整理しよう。
OWASP Top 10は、「Webアプリで気をつけるべき弱点を、専門家がまとめた『注意リスト』」のイメージ。要するに、よくある弱点の一覧だ。
OWASPは、「国の機関ではなく、有志が集まる非営利のコミュニティ」こと。つまり、みんなで良くする活動だ。
数年ごとの更新は、「Webの状況が変わるので、リストも見直される」こと。
試験のツボ
🔴 一番出る：OWASP Top 10の正体
①Webアプリの代表的な脆弱性トップ10のリスト
②Web開発で押さえるべき弱点の注意リスト
🔴 次に出る：公表元と更新
①OWASPは、政府機関ではなく非営利のコミュニティ
②数年ごとに見直される（一度きりではない）
🟡 押さえると安定：上位の脆弱性
①アクセス制御の不備が上位
②インジェクション（SQLインジェクションなど）も常連
よくある間違い
①「OWASPは、国が運営する公的機関だ」→ ✗ OWASPは、世界中の有志が参加する非営利のコミュニティ。
②「OWASP Top 10は、一度決めたらずっと同じだ」→ ✗ Webの状況の変化に合わせて、数年ごとに更新される。
③「OWASP Top 10は、Web以外のすべての脆弱性の一覧だ」→ ✗ Webアプリケーションの代表的な脆弱性を、トップ10にまとめたもの。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（OWASP Top 10の正体）
OWASP Top 10に関する次の記述のうち、最も適切なものはどれか。
- 社員の出退勤を記録して、毎月の給与を計算するためのしくみだ
- 取引先へ毎月の請求書を郵送する、決まった事務作業のことを指す
- Webアプリの代表的な脆弱性トップ10のリストのことである
- 完成したシステムを宣伝して、より多く売るための広告活動である
解答は 3 である。
OWASP Top 10は、Webアプリの代表的な脆弱性をまとめたトップ10のリストじゃ。Web開発の注意リストと心得るがよい。
選択肢1は給与計算、選択肢2は請求書の事務、選択肢4は広告ゆえ、どれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算のしくみではない |
| 2 | ✗ | 請求書の事務の話 |
| 3 | ✓ | Webアプリの脆弱性トップ10で正しい |
| 4 | ✗ | 広告活動ではない |
オリジナル問題2（公表元）
OWASPに関する次の記述のうち、最も適切なものはどれか。
- 社員の給与を計算するときだけ、関係するとされているものだ
- 政府機関ではなく、非営利のコミュニティが公表しているのだ
- 取引先への請求書の枚数しだいで、決まるとされているのである
- システムの動きが、少しだけ速くなるとされているものである
解答は 2 である。
OWASPは、政府機関ではなく、非営利のコミュニティじゃ。世界中の有志が参加していると心得るがよい。
選択肢1の給与、選択肢3の請求書、選択肢4の「速くなる」は、いずれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算とは関係ない |
| 2 | ✓ | 非営利のコミュニティで正しい |
| 3 | ✗ | 請求書の枚数で決まるのではない |
| 4 | ✗ | 速くなるものではない |
オリジナル問題3（上位の脆弱性）
OWASP Top 10の内容に関する次の記述のうち、最も適切なものはどれか。
- アクセス制御の不備やインジェクションが、上位に並ぶのだ
- 社員の給与を計算するときだけ、現れるとされているものだ
- 取引先への請求書の枚数しだいで、決まるとされているのだ
- 上位はすべて、給与計算に関する項目だとされているのだ
解答は 1 である。
上位には、アクセス制御の不備やインジェクションが並ぶのじゃ。よくあるWebの弱点と心得るがよい。
選択肢2の給与、選択肢3の請求書、選択肢4の「すべて給与計算」は、いずれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | アクセス制御の不備等で正しい |
| 2 | ✗ | 給与計算で現れるのではない |
| 3 | ✗ | 請求書の枚数で決まるのではない |
| 4 | ✗ | 給与計算の項目ではない |
まとめ
押さえどころ
- 🔴 正体 ＝ Webアプリの代表的な脆弱性を、トップ10にまとめたリスト。Web開発で押さえるべき注意リスト。
- 🔴 公表元と更新 ＝ OWASP（政府機関ではなく非営利のコミュニティ）が公表。数年ごとに更新される。
- 🟡 上位の脆弱性 ＝ アクセス制御の不備・インジェクション（SQLインジェクションなど）が上位の常連。
次に学ぶ
- SQLインジェクション ── 入力から悪意のSQLを注入する攻撃。OWASP Top 10の上位の常連。
- 情報セキュリティ10大脅威2025 ── 重大な脅威の一覧。OWASP Top 10とあわせて押さえたい。
執筆: SikakuQuest編集部