IT資格用語解説情報処理安全確保支援士試験・脆弱性
OWASP Top 10
更新日:
用語解説
Webアプリケーションで特に重要なセキュリティリスクを開発者や組織へ示す啓発文書です。2025年版が現行版であり、個別脆弱性の一覧や認証規格ではありません。
■ 試験で押さえるポイント
2025年版は、アクセス制御の不備、セキュリティ設定の不備、ソフトウェアサプライチェーンの障害、暗号化の失敗、インジェクションを上位カテゴリに含みます。
安全でない設計、認証の失敗、ソフトウェア又はデータの完全性の失敗、セキュリティログ及び警告の失敗、例外条件の不適切な処理も対象です。
カテゴリは代表的なリスクをまとめたものであり、Top 10だけを確認すれば全ての脆弱性を網羅できるわけではありません。
要件定義、脅威モデリング、設計レビュー、セキュアコーディング、テスト及び運用監視へ継続的に反映します。
■ 過去問での着眼点
例: 権限確認をURLの非表示だけで済ませ、他人のIDを指定するとデータを取得できる不備は、アクセス制御の不備として設計と実装の両方を修正します。