Webサイトやアプリのセキュリティの話をしていると、「OWASP Top 10（オワスプ トップテン）」という言葉をよく耳にします。セキュリティ診断のサービスの説明や、開発の発注の仕様書に出てくることも多い言葉です。
この OWASP Top 10 が改訂されて、2025年版が最新になりました。このコラムでは、診断を頼む側の方に向けて、10の項目を専門用語をできるだけ使わずに、身近な例と一緒に解説します。
OWASP Top 10 とは
OWASP（Open Worldwide Application Security Project）は、Webアプリケーションのセキュリティを良くするために活動している、世界的な非営利のコミュニティです。OWASP Top 10 は、その OWASP が、Webアプリケーションで特に気をつけるべき弱点（脆弱性）の種類を10個にまとめたものです。
2025年版は8回目の改訂です。13の組織が調べた約280万のアプリケーションのデータと、セキュリティの専門家へのアンケートをもとに作られています。
2025年版の10項目
（日本語の名前は、このコラムでのわかりやすい言い換えです。カッコの中が OWASP の正式な名前です）
A01 見てはいけないものが見られる（Broken Access Control）
本来は見られない・操作できないはずの情報や機能に、手が届いてしまう弱点です。たとえば、URL の中の番号を書き換えるだけで、ほかの会員の注文履歴が見えてしまう、一般の会員が管理者の画面を開けてしまう、といったものです。2021年版に続いて1位です。
A02 設定のミス（Security Misconfiguration）
作りそのものではなく、設定に原因がある弱点です。管理画面のパスワードが初期のまま、使っていない機能が動いたまま、クラウドの保存場所が誰でも見られる設定になっている、などが当てはまります。2021年版の5位から2位に上がりました。
A03 使っている部品や、作る・届ける仕組みの問題（Software Supply Chain Failures）【新しい項目】
いまのWebアプリケーションは、外部で作られたたくさんの部品（ライブラリ）を組み合わせて作られています。その部品に弱点がある、古いまま更新されていない、部品や更新の配布の仕組みそのものが乗っ取られて不正なプログラムが混ぜられる、といった問題です。2021年版の「古い部品の使用」を広げて、新しい項目になりました。
A04 暗号の不備（Cryptographic Failures）
守るべき情報が暗号化されていない、または古くて弱い方法で暗号化されている弱点です。通信が暗号化されていない、パスワードがそのまま保存されている、などが当てはまります。
A05 データベースなどへの命令の紛れ込み（Injection）
入力欄などから送られた文字を、システムが「命令」として受け取ってしまう弱点です。データベースの中身を抜き出される「SQLインジェクション」や、ほかの利用者の画面で不正なプログラムを動かされる「クロスサイト・スクリプティング」などが含まれます。
A06 仕組みの考え方そのものの穴（Insecure Design）
プログラムの書き方ではなく、そもそもの設計に穴がある弱点です。たとえば、1回しか使えないはずのクーポンを何度でも使える流れになっている、本人確認の質問が他人でも調べればわかる、といったものです。作り始める前から考えておく必要があります。
A07 ログインの仕組みの弱さ（Authentication Failures）
本人かどうかを確かめる仕組みの弱点です。簡単なパスワードを登録できる、パスワードを何回間違えても試し続けられる、ログアウトしたあともログインした状態が残る、などが当てはまります。
A08 改ざんを確かめていない（Software or Data Integrity Failures）
ソフトウェアの更新や、外から受け取ったデータが、途中で書き換えられていないかを確かめずに使ってしまう弱点です。
A09 記録と気づく仕組みの不足（Security Logging and Alerting Failures）
攻撃を受けたときの記録が残っていない、記録はあっても誰も気づけない、という弱点です。気づくのが遅れるほど、被害は大きくなります。
A10 エラーや想定外のときの扱いのミス（Mishandling of Exceptional Conditions）【新しい項目】
エラーが起きたときや、想定していない使われ方をしたときの処理に問題がある弱点です。エラーの画面にシステムの内部の情報が出てしまう、手続きの途中で通信が切れたときに中途半端な状態のまま残ってしまう、などが当てはまります。
2021年版から変わったところ
- 新しい項目が2つ：「A03 使っている部品や、作る・届ける仕組みの問題」と「A10 エラーや想定外のときの扱いのミス」
- 「設定のミス」が5位から2位に上がった
- 2021年版で10位だった SSRF（サーバーを踏み台にして、外からは届かない場所にアクセスする攻撃）は、「A01 見てはいけないものが見られる」にまとめられた
- ログインの項目（A07）と、記録の項目（A09）は、名前が少し変わった
診断を頼む側が知っておきたいこと
Top 10 は「全部」ではなく「出発点」
OWASP 自身が、Top 10 は大事な弱点を知ってもらうための文書で、すべてを網羅したリストではなく出発点だ、と書いています。Top 10 に入っていない弱点で被害が起きることもあります。「OWASP Top 10 に対応しているから大丈夫」ではなく、自社のサイトに合わせて、何を調べる必要があるかを考えることが大切です。
何を基準に、どこまで調べるかを確かめる
診断を頼むときは、何を基準にして（OWASP Top 10 のほか、より細かい確認項目をまとめた OWASP の ASVS など）、どの画面や機能を、どこまで調べるのかを、事前に確かめておくと安心です。見つかった弱点を、どれから直せばいいかまで教えてもらえるかもあわせて確かめましょう。
設計と部品は、作るときから
「A06 仕組みの考え方そのものの穴」や「A03 使っている部品の問題」は、完成してから直そうとすると大きな手戻りになります。公開前の診断だけでなく、設計の段階からセキュリティを考えておくことと、使っている部品を更新し続ける仕組みを持つことが大切です。
まとめ
OWASP Top 10 は、Webアプリケーションで起きやすい弱点を知るための、よい入口です。自社のサイトにどの項目が当てはまりそうかを考えるだけでも、対策の優先順位が見えてきます。
SecureHatters のWebアプリケーション・API診断では、こうした弱点を攻撃者と同じ目線で調べて、直す順番と一緒にお伝えします。「自社のサイトだと何を調べればいいのか」という段階からでも、お問い合わせからお気軽にご相談ください。