OWASP Top 10（2025）に自分のアプリを当てはめる

第13章のレビュー定型文で観点として渡した「OWASP Top 10:2025」を、この章では原典に当たって読みます。10項目それぞれについて、一言でいうと何か、ミニ銀行で起きたら何が壊れるか、論文では何件あったか、そして実践編のどの演習で確かめられるかを対応づけます。Top 10は「チェックリスト」ではありません。何のための文書かを知ると、使い方が変わります。

OWASPとは何か、Top 10とは何か

OWASP（Open Worldwide Application Security Project）は、ソフトウェアの安全性を高めるための非営利団体です。2001年に活動が始まり、2004年に財団として法人化されました。世界に250以上の支部があり、文書はすべて無料で読めます。

Top 10はその中で最も知られた文書で、「Webアプリケーションで最も重大なリスク10種類」を数年おきに改訂しています。2025年版は、12の組織と匿名の提供者から集めた280万件以上のアプリケーションのデータを基に、589種類のCWE（Common Weakness Enumeration、弱点の種類を番号で整理した一覧）を分析して作られました。10項目のうち8つはデータから、2つは実務者へのコミュニティ調査から選ばれています。

OWASP自身は、この文書を「標準的な啓発資料（Awareness document）」と位置づけています。2021年版の「Top 10をスタンダードとして使うには」のページでは、「OWASP Top 10 は、主に意識向上を目的とした文書です」と述べ、標準を採用したい人には ASVS（Application Security Verification Standard）を使うよう勧めています。監査でいえば、Top 10は「重点監査項目の通達」で、ASVSが「監査基準」に当たります。ASVSは第20章で扱います。

2021年版から何が変わったか

2025年版の序文によれば、「2つのカテゴリが新設され、1つが統合され」ました。変更点を表にまとめます。

読み取れるのは2つです。設定の不備が2位まで上がったこと（第12章の重みが増しました）、そして「部品」の問題がサプライチェーンという広い枠に広がり、実務者の最大の関心事になったこと（第16章）です。

A01〜A10を、自分のアプリに当てはめる

10項目を4つの観点で並べます。「論文での件数」は第14章のTable 2の数字です。「確認する章」は、実践編のどの演習がその項目に対応するかです。

上位3つ：A01、A05、A07

論文では、この3項目で全体の60.20%を占めました。いずれも実践編で手を動かした項目です。A01は第10章で、テスト用アカウント2つを使って「他方のデータが拒否されること」を確かめました。A05は第11章で、無害な太字タグが文字のまま表示されることを確かめました。A07は第10章と第12章で、Supabase Authの設定とログアウト後の挙動を見ました。原典の対策の節には、A01に「公開リソースを除き、原則としてすべてのアクセスを拒否してください」「各レコードの所有権に基づいたアクセス制御をモデル上で強制してください」、A07に「ログイン失敗時の試行を制限、あるいは遅延させてください」「ログアウトやタイムアウト時には必ずサーバー側で無効化してください」とあります。第10章でやったことの根拠は、ここにあります。

設定と部品と設計：A02、A03、A06

A02は第12章そのものです。原典の対策は「開発、QA、本番の各環境は同一の設定とし、認証情報のみを環境ごとに使い分ける」「不要な機能、コンポーネント、ドキュメント、サンプルを含まない最小限のプラットフォーム」で、個人開発では「管理画面の目視」に置き換わります。A03は第16章で詳しく扱います。A06の「安全性を欠いた設計」は、他と性質が違います。コードを直しても直らない、仕組みの問題だからです。原典は「認証、アクセス制御、ビジネスロジック、および主要なデータフローに対して、脅威モデリングを継続的に実施」し、「各層において、妥当性チェック（Plausibility Checks）を統合」するよう求めています。ミニ銀行なら「残高を超える振込は拒否」「1日の限度額」をサーバー側でも確かめることがそれで、第13章でAIに「持ち主への質問」として列挙させた項目の答えが、この設計に当たります。

見えにくい4つ：A04、A08、A09、A10

A04は、パスワードを自分で保存しないという第10章の方針で大半が片づきます。A08は、外部から受け取るものの検証です。論文では最も少ない12件でしたが、決済サービスからの通知を扱うアプリを作るなら避けて通れません。A09は、起きたことに気づくための記録で、第18章で扱います。A10は新設項目で、原典は「最悪の事態を想定する」「失敗したら安全側に倒す（fail closed）」「情報技術において無制限なものは何一つあってはなりません」と書いています。第11章で長い文字列を入れてエラー画面を見た確認と、第12章のエラー表示の確認が、この項目の入口です。

チェックリストではなく、意識づけの文書

Top 10を「10項目に印を付ければ安全」と使うのは、OWASP自身が勧めていない使い方です。10項目は「種類」であって「確認項目」とは違い、A01の中だけでもIDOR、権限昇格、CORSの不備など多くの形があります。項目名に出てこない弱点が、どこかの項目に含まれていることもあります。たとえばCSRF（ログイン中の利用者になりすました不正な送信）は項目名にはありませんが、2025年版ではA01「アクセス制御の不備」に紐づく弱点（CWE-352）として含まれています。何がどの項目に入っているかは、各項目のページにある「紐付けられたCWE一覧」で確かめます。順位はデータの母集団に依存し、あなたのアプリの順位ではありません。

正しい使い方は、「レビューや設計のときに、必ずこの10の観点を頭に置く」ことです。第13章の定型文はこの使い方でした。項目ごとに本当に確かめるなら、ASVSの要件一覧（第20章）に進みます。内部統制でいえば、Top 10は「リスク評価で重点を置く領域の一覧」、ASVSは「統制の整備・運用状況を評価する手続書」です。

OWASP Cheat Sheet Series の使い方

Top 10が「何が危ないか」の文書なら、Cheat Sheet Series は「どう守るか」の文書です。OWASPは「特定のアプリケーションセキュリティの話題に関する、価値の高い情報の簡潔な集まり」と説明していて、2026年時点で137ほどのシートが公開されています。Top 10の項目ごとに関連シートを引ける索引（IndexTopTen）があり、第5章で参照した Authorization、CSRF Prevention、第12章の HTTP Headers もその一部です。他に Input Validation、Logging、Secrets Management、Vulnerable Dependency Management、Software Supply Chain Security、LLM Prompt Injection Prevention などがあります。

非エンジニアにとっての使い方は、自分で実装することより、AIに渡す参照先にすることです。「A01を直して」と頼むより、「OWASPのAuthorization Cheat Sheetに従って直して」と頼むほうが、第4章の実験でいう「当たり前を文書で渡す」に近づきます。

第13章のレビューで「A01 アクセス制御の不備」として指摘された次の箇所を修正してください。

対象：（ファイル名と行番号）
指摘内容：（レビュー報告の該当行を貼る）

条件：
- OWASP Cheat Sheet Series の「Authorization Cheat Sheet」の推奨（すべてのリクエストで権限を検証する、初期状態は拒否、サーバー側で判断する）に従ってください
- 同じ処理をしている他の箇所（取得・更新・削除）にも同じ守りが入っているかを確認し、漏れがあれば一覧にしてください（修正はまだしないでください）
- 変更した箇所を差分で示し、「何を」「なぜ」変えたかを一行ずつ説明してください
- 業務ルール（誰に何が許されるべきか）が分からない箇所は、修正せずに質問として列挙してください