OWASP Top 10とは（全体像）
Webアプリには、つくり方によってさまざまな脆弱性が入りこむ。そこで、「実際によく見つかる危険な弱点トップ10」をまとめたのがOWASP Top 10だ。
発行するのはOWASP（Open Worldwide Application Security Project）という非営利の団体。世界中のデータをもとに順位を付け、数年ごとに更新する。開発者はこれを見て、「まずこの10個を押さえよう」という指針にできる。
押さえるのは、何のランキングか（Webアプリ脆弱性）、2021年版の上位、そして版が更新されることだ。
詳しく：2021年版の上位を押さえる
ここが心臓部。広く参照される2021年版の上位は次のとおり。
OWASP Top 10（2021年版）の上位
| 順位 | 項目 | 内容 |
|---|---|---|
| A01 | アクセス制御不備 | 本来見られない人がデータを見られてしまう（1位に昇格） |
| A02 | 暗号の失敗 | 暗号化の不備で大事な情報が守れていない |
| A03 | インジェクション | SQLインジェクションなど（旧1位から降格） |
| A04 | 安全でない設計 | 設計段階での問題（新規に追加） |
| A05 | 設定不備 | 初期設定のままなど、設定の誤り |
言葉を噛み砕いておく。
- OWASPは非営利の団体 … 特定の会社の宣伝ではなく、中立の立場で脆弱性の情報をまとめている。
- 2021年版の1位はアクセス制御不備（A01） … 「本来アクセスできない人が、データや機能にアクセスできてしまう」問題。前は1位だったインジェクションは、2021年版では3位（A03）に下がった。
- 版は更新される … OWASP Top 10は数年ごとに見直される。順位や項目が変わるので、受験年度の版を確認しておくとよい（ここでは2021年版を扱う）。
わかりやすく言い換えると
つまり、OWASP Top 10はWebの「よくある落とし穴ワースト10」リストにたとえるとスッと入る。
飲食店に「よくある衛生上の注意トップ10」があるように、Webアプリにも「よく見つかる弱点トップ10」がある。これを中立の専門家集団（OWASP）がまとめ、開発者が最初に確認するチェックリストとして使う。
2021年版でいちばん多いのはアクセス制御不備（本来見られない人がデータを見られてしまう）。昔の1位だったインジェクションは3位に下がった。そして、このランキングは数年ごとに入れ替わるので、受験する年度の版を見ておくと安心、というわけだ。
試験のツボ
🔴 一番出る：何のランキングか
①Webアプリでよく見つかる脆弱性のワースト10
②発行は非営利の団体OWASP・数年ごとに更新
🔴 次に出る：2021年版の上位
①1位はA01アクセス制御不備
②旧1位のインジェクションは3位（A03）に降格
🟡 押さえると安定：版は更新される（ここでは2021年版を扱う・受験年度で最新を確認）
よくある間違い
①「OWASP Top 10の1位はインジェクションだ」→ ✗ 2021年版の1位はアクセス制御不備（A01）。インジェクションは3位（A03）。
②「OWASP Top 10はずっと同じ順位で固定されている」→ ✗ 数年ごとに更新され、順位や項目が入れ替わる。受験年度の版を確認する。
③「OWASPは特定の会社が宣伝のために出している」→ ✗ OWASPは非営利の団体。中立の立場でまとめている。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（OWASP Top 10とは）
OWASP Top 10に関する次の記述のうち、正しいものはどれか。
- OWASP Top 10は人気のあるプログラミング言語を10個並べた人気ランキングのことであるとされているのだ
- OWASP Top 10はWebアプリでよく見つかる脆弱性のワースト10で、非営利の団体OWASPが公表している
- OWASP Top 10はソフトの売上を10位まで並べた商業ランキングのことで、脆弱性とは関係しないとされている
- OWASP Top 10は通信を暗号化するための10種類の鍵の規格を定めたものであるとされているのが実情だ
解答は 2 である。
OWASP Top 10は、Webアプリでよく見つかる脆弱性のワースト10。非営利の団体OWASPが、世界中のデータをもとに公表している。
選択肢1の言語の人気、選択肢3の売上ランキング、選択肢4の暗号鍵の規格は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 言語の人気ランキングではない |
| 2 | ✓ | Webアプリ脆弱性のワースト10で正しい |
| 3 | ✗ | 売上ランキングではない |
| 4 | ✗ | 暗号鍵の規格ではない |
オリジナル問題2（2021年版の1位）
OWASP Top 10（2021年版）の順位に関する次の記述のうち、正しいものはどれか。
- 2021年版の1位はインジェクションで、アクセス制御不備という項目はランキングに入っていないとされている
- 2021年版ではすべての項目が同じ1位として並び、順位の上下はいっさい付けられていないとされているのだ
- 2021年版の1位はアクセス制御不備（A01）で、旧1位のインジェクションは3位（A03）に下がっている
- 2021年版は脆弱性ではなく、人気のWebサービスを1位から順に並べたランキングであるとされているものだ
解答は 3 だ。
2021年版の1位はアクセス制御不備（A01）。前の版で1位だったインジェクションは、2021年版では3位（A03）に下がっている。
選択肢1は1位を取り違えている。選択肢2は「すべて同じ1位」が誤り。選択肢4は「人気のWebサービス」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 1位はアクセス制御不備で、入っている |
| 2 | ✗ | 順位は付けられている |
| 3 | ✓ | 1位A01・インジェクションは3位で正しい |
| 4 | ✗ | 人気サービスのランキングではない |
オリジナル問題3（版の更新）
OWASP Top 10の更新に関する次の記述のうち、正しいものはどれか。
- OWASP Top 10は一度作られたら順位も項目も永久に変わらず、更新されることはないとされているのが実情だ
- OWASP Top 10は毎日順位がくじ引きで入れ替わり、脆弱性の実態とは関係なく決まるとされているものである
- OWASP Top 10は特定の一社が宣伝のために作っているもので、中立の立場とはいえないとされているのだ
- OWASP Top 10は数年ごとに更新され、順位や項目が入れ替わるため受験年度の最新の版を確認しておくとよい
解答は 4 だ。
OWASP Top 10は数年ごとに更新され、順位や項目が入れ替わる。だから受験年度の版を確認しておくとよい（ここでは2021年版を扱う）。
選択肢1は「永久に変わらない」が誤り。選択肢2は「毎日くじ引き」が誤り。選択肢3は「一社が宣伝のため」が誤りで、OWASPは非営利だ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 数年ごとに更新される |
| 2 | ✗ | くじ引きで決まるのではない |
| 3 | ✗ | 非営利で中立の立場 |
| 4 | ✓ | 数年ごとに更新・年度の版を確認で正しい |
まとめ
押さえどころ
- 🔴 OWASP Top 10 ＝ Webアプリでよく見つかる脆弱性のワースト10。非営利の団体OWASPが発行。
- 🔴 2021年版の1位はA01アクセス制御不備。旧1位のインジェクションは3位（A03）に降格。
- 🟡 数年ごとに更新される（ここでは2021年版を扱う・受験年度で最新を確認）。
次に学ぶ
- CVE（脆弱性識別子） ── 個々の脆弱性に世界共通の番号を付けるしくみ。
- CVSS（脆弱性評価） ── 脆弱性の深刻度を点数で表すしくみ。
- NWセキュリティ（FW・IDS/IPS・WAF） ── Webアプリへの攻撃を、入口で防ぐしくみ。
執筆: SikakuQuest編集部