OWASP Top 10とは｜Webアプリの主要リスク10カテゴリ解説

OWASP Top 10とは

OWASP Top 10は、Webアプリで特に注意すべき脆弱性リスクを10カテゴリで整理した、国際的によく参照される指針です。 OWASP（Open Worldwide Application Security Project）という非営利の団体が数年おきに更新しています。

策定の枠組みは、実測データとコミュニティレビューを組み合わせる方式です。世界中の企業・ツールベンダー・脆弱性診断事業者が提供する脆弱性データと、専門家・実務者のフィードバックを踏まえて選定されます。選定方法の詳細な指標や重みづけは、各版のIntroduction / Methodologyで確認してください。

「ランキング」より「共通参照資料」として使われる

Top 10という名前から「危険度の順位」と誤解されがちですが、単純な危険度ランキングとして読むより、代表的なリスクカテゴリを整理した共通参照資料として使うのが実務的です。データに基づく優先度整理の側面はあるものの、個別プロジェクトのリスクは扱うデータの機密性・ユーザー規模・攻撃対象領域で変わるため、「A01が最も危険」と直訳できるわけではありません。

一方で、契約書・監査項目・要件定義書などで「OWASP Top 10のA01・A05に該当する脆弱性が発見されていないこと」といった参照のされ方をするため、開発現場で「共通語」として押さえておく価値があります。

誰が使う資料か

• 開発者：レビュー観点・自己チェックリスト・脆弱性診断の入口

• セキュリティ担当：内部監査項目・要件書テンプレート・教育資料

• 発注者・監査側：ベンダー審査シート・契約書のセキュリティ要件条項

• フリーランスエンジニア：面談での共通語彙、スキルシートでの表現、案件参画時のヒアリング材料

外部リンク：OWASP Top 10 プロジェクト公式 / OWASP Top 10:2025

ミニFAQ

Q. OWASP Top 10は法的な基準ですか？

A. 法令ではありません。 政府・業界団体が法規制として指定しているわけではなく、あくまでコミュニティが公開している啓発資料です。ただし、契約や監査で参照されるケースはあるため、実務上は無視できません。

OWASP Top 10:2025のカテゴリ一覧

執筆時点（2026年8月11日）でOWASP公式ページに掲載されている、OWASP Top 10:2025の10カテゴリは以下の通りです。 名称・順位は公式表記をそのまま引用しています。

日本語訳は本記事編集部の意訳です。契約書・監査ではズレを避けるため、原文（英語）表記をそのまま使う運用が一般的です。

2021年版から2025年版への主な変更点

執筆時点でOWASP公式ページから確認できる主な差分は以下です。 詳細な変更履歴・策定意図は、必ず各版のIntroductionで確認してください。

主要な変更ポイント

• A03に「Software Supply Chain Failures」が入った：2021年版の「A06 Vulnerable and Outdated Components」の枠組みが、依存ライブラリ管理だけでなくCI/CD経路・ビルドプロセス・パッケージレジストリまで含んだ「サプライチェーン全体」の視点で再定義されました

• A10に「Mishandling of Exceptional Conditions」が新設された：例外・エラー処理の設計不備を独立カテゴリとして立てる整理になりました。公式ページ上でどのような具体例が挙げられているかは、必ず該当ページで確認してください

• 旧A10のSSRFが2025のTop 10では独立カテゴリから外れた：独立カテゴリから外れても、SSRF自体の重要性が下がるわけではありません。攻撃自体は引き続き成立するため、対策の必要性は変わらない点に注意してください

• A02が「Security Misconfiguration」に：2021年版でA05だった項目が、2025年版ではA02に位置しています

ミニFAQ

Q. 2021年版はもう使えないのですか？

A. 案件・監査によっては2021年版を継続参照するケースがあります。 契約書やベンダー審査シートは版指定が古いままの場合があるため、参画時に「どの版を前提にしているか」を確認するのが実務的です。

OWASP Top 10:2025 各カテゴリの要点

各カテゴリの内容・具体例・実装対策は、OWASPの公式ページに詳細な解説があります。ここでは実務上の要点だけを抜粋します。 引用する場合は必ずOWASP Top 10:2025公式で最新の記述を確認してください。

A01:2025 Broken Access Control（認可制御の不備）

認可されていないユーザーが、想定外の操作・データにアクセスできてしまう状態を指します。 認可のロジックがコントローラ・ミドルウェア・DBの複数層に分散し、抜けが生じやすい領域です。

• 典型例：URLパラメータ書き換えで他人のリソースが見える、権限昇格、API直叩きでの認可バイパス

• 対策の入口：認可はサーバ側で一元化する。「ホワイトリスト方式（許可を明示）」を基本とし、ミドルウェアやポリシーエンジンで宣言的に定義する

• 参考：認証基盤・IDaaSエンジニアのフリーランス案件動向

A02:2025 Security Misconfiguration（セキュリティ設定ミス）

フレームワーク・クラウド・ミドルウェアなどの設定に起因する脆弱性の総称です。 「デフォルト設定のまま」「不要な機能が有効」「エラー情報の露出」など、機能を止めなくても踏むケースが多い領域です。

• 典型例：管理コンソールが外部公開、S3バケットが公開、詳細エラー画面の露出、CORS設定の緩さ

• 対策の入口：構成をコード化（IaC）してレビュー可能にする。CIで設定スキャン（IaC linter・クラウドポスチャ管理ツール）を回す

A03:2025 Software Supply Chain Failures（サプライチェーンの不備）

依存パッケージ・ビルド経路・パッケージレジストリなど、ソフトウェア供給網の任意のポイントに埋め込まれた不備を指します。 2021年版の「Vulnerable and Outdated Components」より広い枠組みで整理された点が変更のポイントです。

• 典型例：脆弱バージョンの利用、依存パッケージのタイポスクワッティング、ビルド環境の汚染、署名検証なしのアーティファクト取り込み

• 対策の入口：SBOM生成の自動化・依存脆弱性スキャン・署名検証・ビルド環境の隔離をCIに組み込む

• 実際は推奨パラメータや使用ツールも含めて、公式ドキュメントと各言語・フレームワークのガイドを踏まえて選定するのが安全です

A04:2025 Cryptographic Failures（暗号関連の不備）

通信・保存データの暗号化、鍵管理、ハッシュ関数の選定などに関わる不備です。 「送信時にTLSを使っていない」「弱いアルゴリズムを使う」「秘密鍵をリポジトリにコミット」等が該当します。

• 典型例：機密データが平文でDB保存、TLS未使用・古い暗号スイート、パスワードのMD5保存、鍵の使い回し

• 対策の入口：パスワードは強いハッシュ関数（bcrypt、Argon2など）で保存する。実際は推奨パラメータやライブラリ実装も含めて、各言語・フレームワークの最新ガイドに従う必要があります。鍵はマネージド鍵管理サービスで運用する

A05:2025 Injection（インジェクション）

外部入力が構文の一部として解釈され、不正なコマンドやクエリが実行される脆弱性です。 SQLインジェクション、OSコマンドインジェクション、LDAPインジェクションなどを包含する広いカテゴリです。XSS（クロスサイトスクリプティング）は2017年版以前では独立カテゴリとして扱われた時期があり、2021年版以降はInjectionの一部として整理されています。

• 典型例：SQL文字列連結、OSコマンド文字列連結、テンプレートインジェクション、DOMベースXSS

• 対策の入口：プレースホルダ（Prepared Statement）を使う・入力を型と長さで正規化する・出力時にコンテキスト別のエスケープを行う

• 個別脆弱性の深堀り：SQLインジェクションとは｜仕組み・主要攻撃4種・実装対策と検知方法 / XSSとは｜仕組み・3種類の攻撃・実装対策とCSP設計

A06:2025 Insecure Design（安全でない設計）

実装ではなく設計段階で作り込まれる脆弱性です。 レートリミットが設計されていない、パスワードリセットのフローに検証がない、ビジネスロジックそのものが悪用余地を残している、といったケースが該当します。

• 典型例：無制限のログイン試行、値渡しだけで検証しない金額処理、招待コードの推測可能なID

• 対策の入口：脅威モデリング（STRIDEなど）を設計フェーズで実施し、悪用ケースを設計要件として書き出す。抜け漏れは設計レビューで潰す

A07:2025 Authentication Failures（認証の不備）

「本人であること」を確認する仕組みの不備を指します。 2021年版の「Identification and Authentication Failures」から名称が短くなっていますが、扱う内容は概ね同じ方向です。詳細は公式のIntroductionで確認してください。

• 典型例：ブルートフォースに耐えないログイン、セッションIDの推測可能性、MFA不備、パスワードリセットの弱さ

• 対策の入口：MFA（多要素認証）・パスワードポリシー・レートリミット・セッション再生成を基本とし、可能ならIDaaSに寄せる

• 参考：JWTとは｜仕組み・セッション認証との違い・実装の注意点

A08:2025 Software or Data Integrity Failures（完全性の不備）

ソースコード・依存アーティファクト・データが「改ざんされていない」ことを検証しないことに起因する脆弱性です。 サプライチェーン（A03）と重なる部分がありますが、こちらは「完全性検証の抜け」に焦点が寄っています。

• 典型例：署名検証しないでライブラリ取り込み、CI/CDパイプラインへのシークレット注入、シリアライズ済みオブジェクトの検証不足

• 対策の入口：パイプラインのアーティファクト署名・環境隔離・依存ハッシュ固定

A09:2025 Security Logging and Alerting Failures（ログ・通知の不備）

攻撃・不正操作を検知するログが不足している、または通知が届かない状態を指します。 2021年版の「Security Logging and Monitoring Failures」から表記が変わっていますが、方向性は連続的です。

• 典型例：ログイン失敗・権限昇格・重要API呼び出しがログに残らない、ログが破壊可能、アラートが誰にも届かない

• 対策の入口：「誰が・いつ・何に・何をした」を最低限記録し、SIEMや監視サービスに集約する

A10:2025 Mishandling of Exceptional Conditions（例外条件の取扱いの不備）

エラー処理・例外処理の設計不備を独立カテゴリとして立てた、2025年版の新カテゴリです。 具体例・境界の詳細は必ずOWASP公式ページで確認してください。

• 典型例（公式で確認できる範囲）：例外時にセキュリティチェックがスキップされる、想定外入力でフェイルオープンになる、詳細エラーが本番で露出する

• 対策の入口：「例外が発生したらフェイルクローズにする」設計原則を明示し、テストで検証する

OWASP Top 10の使い方（開発・運用での活用）

開発現場でOWASP Top 10が使われる場面は、大きく分けて4つあります。 どれも「Top 10だけで安全が担保される」わけではなく、共通語彙として使うことで話が早くなるためのフレームワークです。

開発チーム内の共通言語として

• コードレビュー・設計レビューで「A01の観点で見ると…」と参照する

• 新人・中途入社者の教育資料

• セキュリティ関連のTicketにラベル付けする（例：A05由来のバグ）

業務委託契約書・要件書での参照

一部の企業・案件では、業務委託契約書のセキュリティ要件書やベンダー審査シートで、「OWASP Top 10相当の脆弱性が発見されていないこと」といった参照のされ方をします。ISMSやPCI DSSなどの認証・準拠と直接1対1で対応するわけではありませんが、監査や要件整理の参考資料として参照されることがあります。契約書に版指定（例：2021年版）がある場合、その版に沿って会話するのが安全です。

脆弱性診断のスコープ整理

外部診断ベンダーに依頼するとき、「OWASP Top 10の各カテゴリをカバー範囲に含める」という指定はよく行われます。診断報告書もOWASPのカテゴリで整理されることが多く、報告書の読み解きにもTop 10の知識が役立ちます。

スキルシート・面談での共通語

フリーランスエンジニアがセキュリティ実装経験を伝えるとき、「OWASP Top 10のA01・A03・A05に関して実装対策の経験あり」とカテゴリで示しておくと、面談官が具体経験を掘り下げやすくなります。ただしカテゴリ名だけでなく、使用技術と実施内容（例：認可ミドルウェア導入、SBOM生成、CSP設計）も併記すると伝わりやすいです。

ミニFAQ

Q. OWASP Top 10だけ守れば安全ですか？

A. 少なくともTop 10だけでは不十分なケースが多く、業務特性に応じた追加の対策が必要です。 業界別（金融・医療・IoT等）や技術別（LLMアプリ・モバイル等）に別のTop 10やガイドラインが存在するため、対象システムの特性に合わせて組み合わせます。

フリーランスエンジニアと案件現場での位置づけ

セキュリティ関連の実装経験を求められる案件では、OWASP Top 10のカテゴリで語れるかどうかが面談の共通軸になりやすいです。 ただし、Top 10知識だけで案件が取れるわけではなく、「どのカテゴリで、どんな技術を使って、何を実装したか」の3点セットが求められます。

スキルシートに書く場合の例

• ❌「OWASP Top 10 理解」（抽象的でどう伝わるかが不明）

• ✅「OWASP Top 10のA01（認可）に関し、Keycloak導入とポリシーベースの認可設計を担当」

• ✅「A05（Injection）に関し、既存クエリのプレースホルダ化とレビュー観点整備を実施」

• ✅「A03（サプライチェーン）に関し、依存脆弱性スキャンのCI組み込みとSBOM生成を導入」

カテゴリ名だけでなく、使用技術と実施内容（例：認可ミドルウェア導入、SBOM生成、CSP設計）も併記すると伝わりやすいです。

面談で問われやすい観点

• 実装での踏み込み具合（フレームワーク任せか、設計から入っているか）

• 脆弱性診断ベンダーとの連携経験

• CI/CDでのセキュリティチェック組み込み経験

• 有事対応（インシデントレスポンス）の経験の有無

参照されやすい案件の傾向

首都圏中心の主要フリーランスエージェント数社の公開案件票と面談準備資料を見た範囲では、以下の案件で要件書・スキルシート・面談時にOWASP Top 10が参照される場面が見られます（週4〜5日準委任案件を中心に見た定性観測です）。

• 金融・決済系Webサービス開発案件

• 官公庁・公共系のWeb案件（PIA・情報セキュリティ要件が厳しい傾向）

• SaaS開発案件で監査対応（SOC 2、ISMS等）を進めている企業

• 認証基盤・ID連携（IdP・IDaaS）案件

参考：セキュリティエンジニアのフリーランス単価相場｜案件動向とスキル別レンジ / 官公庁・公共系のフリーランスエンジニア案件｜単価相場・契約形態・セキュリティ要件を徹底解説

ミニFAQ

Q. セキュリティエンジニアでなくてもOWASP Top 10は必要ですか？

A. Webアプリを扱うすべてのエンジニアに必要な最低限の共通語彙です。 バックエンド・フロントエンド・SREいずれの職種でも、Top 10のカテゴリで会話が発生します。個別技術（XSS・SQLインジェクション等）の知識と組み合わせて押さえるのが実務的です。

対応チェックリスト（実装優先度の目安）

以下は、GitHub Actions等のCI、クラウド運用、基本的なログ基盤がすでにあるチームを想定した目安です。 前提が異なる場合は着手のしやすさが大きく変わります。着手順は各チームの成熟度・法規制の縛り・扱うデータの機密性で調整してください。

「継続」は一度で完了しない設計プラクティスとして扱い、案件ごと・機能追加ごとに繰り返します。

OWASP以外の関連セキュリティ資料・フレームワーク

OWASP Top 10と併せて参照される資料は複数あります。 システム特性・業界・国内法規制に応じて組み合わせます。

• OWASPの他プロジェクト：OWASP API Security Top 10、OWASP Mobile Top 10、OWASP LLM Top 10（LLMアプリ向け・版更新があるため公式ページで最新版を確認）、OWASP ASVS（Application Security Verification Standard）

• NIST：NIST SP 800シリーズ（米国政府系ガイドライン）、NIST Cybersecurity Framework

• CWE：脆弱性種別のカタログ。OWASP Top 10のカテゴリはCWEの複数項目にマッピングされる

• IPA：安全なウェブサイトの作り方（IPA）は日本語の入門資料として実務でよく参照されます

LLMアプリを扱う場合の脆弱性は、OWASP Top 10とは別枠のOWASP LLM Top 10で整理されています。個別対策はプロンプトインジェクション対策｜LLMアプリのセキュリティ実装ガイドを参考にしてください。

まとめ

OWASP Top 10は、Webアプリの脆弱性リスクを共通語彙として整理した国際的な啓発資料であり、開発・監査・案件参画の会話の入口として押さえておく価値があります。 ただしTop 10だけでシステムの安全性が担保されるわけではなく、対象システムの特性に応じた追加対策が必要です。

• 執筆時点（2026年8月11日）でOWASP公式ページに「最新の公開版」として掲載されているのはOWASP Top 10:2025です。参照時点で必ず公式ページにて最新情報を確認してください

• 2025年版で公式ページから確認できる主な差分は、A03のサプライチェーンへの再定義、A10:2025の新カテゴリ、A02の上位化など

• 2021年版から名称・順位が変わっているため、契約書・要件書の版指定を確認する運用が安全

• フリーランスエンジニアが実務で使うときは、カテゴリ名だけでなく実装内容（使用技術・具体作業）とセットで語れる状態にする

• 監査・案件・面談で参照される場面が多いため、最新版の扱いはOWASP公式で必ず確認しつつ、まずはTop 10をWebセキュリティの共通語彙として押さえるのが実務的です

一次情報リンクまとめ：

• OWASP Top 10 プロジェクト公式

• OWASP Top 10:2025

• OWASP Top 10:2021

• IPA 安全なウェブサイトの作り方

セキュリティ実装や関連案件についてより深く知りたい方は、以下も参考にしてください。

• XSSとは｜仕組み・3種類の攻撃・実装対策とCSP設計

• SQLインジェクションとは｜仕組み・主要攻撃4種・実装対策と検知方法

• JWTとは｜仕組み・セッション認証との違い・実装の注意点

• 認証基盤・IDaaSエンジニアのフリーランス案件動向｜単価・必要スキル・主要製品

• セキュリティエンジニアのフリーランス単価相場｜案件動向とスキル別レンジ

• セキュリティ資格おすすめ｜支援士・CISSP・CEHの難易度と案件影響

本記事の内容は執筆時点（2026年8月11日）でOWASP公式ページから確認できた情報に基づきます。標準リストは改訂される可能性があるため、案件参画・監査対応の実務では必ずOWASP公式ページで最新版・最新の記述を確認してください。