OWASP Top 10 の2025年版が公開され、「今の10項目は何か」「2021年版から何が変わったのか」を確かめようとしている方は多いのではないでしょうか。2025年版では新しいカテゴリが2つ加わり、順位の入れ替わりや名称の変更も起きています。社内のセキュリティチェックリストや開発ガイドラインを最新化するうえで、変更点を正確に押さえておくことが欠かせません。
本記事では、OWASP Top 10 2025の全10項目を公式の名称（英語・日本語）とあわせて一覧で示し、2021年版からの変更点を対応表で整理します。さらに、各リスクを自社でどう確かめればよいか、脆弱性診断やペネトレーションテストなどの診断手段との対応関係まで解説します。
2025年版の全体像を押さえ、自社の開発・運用プロセスに反映するための実務的な手引きとしてご活用ください。
目次
一括ダウンロードする
OWASP Top 10 2025の全10項目一覧
OWASP Top 10 2025で挙げられている10項目は以下のとおりです。カテゴリ番号（A01〜A10）は深刻なリスクの順に並んでおり、各項目には公式の英語名と、OWASP Japan Chapterによる日本語訳を併記しました。訳語は解説記事によって表記がわずかに異なることがあるため、ここでは公式の表記に合わせています。
| カテゴリ | 名称（日本語・公式訳） | 名称（英語・公式） |
|---|---|---|
| A01:2025 | アクセス制御の不備 | Broken Access Control |
| A02:2025 | セキュリティ設定の不備 | Security Misconfiguration |
| A03:2025 | ソフトウェアサプライチェーンの不備（新設） | Software Supply Chain Failures |
| A04:2025 | 暗号化の不備 | Cryptographic Failures |
| A05:2025 | インジェクション | Injection |
| A06:2025 | 安全性を欠いた設計 | Insecure Design |
| A07:2025 | 認証の不備 | Authentication Failures |
| A08:2025 | ソフトウェアまたはデータの完全性の不備 | Software or Data Integrity Failures |
| A09:2025 | セキュリティログとアラートの不備 | Security Logging and Alerting Failures |
| A10:2025 | 例外的な状況への不適切な対応（新設） | Mishandling of Exceptional Conditions |
このうちA03「ソフトウェアサプライチェーンの不備」とA10「例外的な状況への不適切な対応」が2025年版で新しく加わったカテゴリです。詳しい中身と追加の経緯は後述します。
出典・参考資料（2件）
- 出典：OWASP Top 10:2025 List｜OWASP（https://top10.owasp.org/2025）
- OWASP Top 10:2025 日本語訳｜OWASP Japan Chapter（https://github.com/owasp-ja/Top10）
そもそもOWASP Top 10とは
OWASP Top 10は、Webアプリケーションにおける最も深刻なセキュリティリスクを10項目にまとめた、OWASP（Open Worldwide Application Security Project）による啓発資料です。公式の表現では「開発者やウェブアプリケーションセキュリティに関わる人々のための標準的な啓発資料」と位置づけられており、セキュア開発の共通言語として広く参照されています。
Top 10はおおむね3〜4年ごとに改訂されており、今回の2025年版は第8版にあたります。各カテゴリは、多数のアプリケーションから収集した脆弱性データと、実務者を対象としたコミュニティ調査の両方をもとに選定されています。2025年版では、10のカテゴリに248件のCWE（共通脆弱性タイプ）がマッピングされました。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025 Introduction｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
2021年版からの変更点一覧
2025年版では、2つのカテゴリが新設され、1つが統合されました。公式は「表面的な症状ではなく、可能な限り根本原因に焦点を当てる」方針を掲げています。2021年版との対応を、順位変動・新設・統合・名称変更の区別がわかる形で整理すると以下のとおりです。
| 2025年版カテゴリ | 2021年版順位 | 2025年版順位 | 変動 | 変更の種類 |
|---|---|---|---|---|
| A01 アクセス制御の不備 | 1位 | 1位 | → | SSRFを統合 |
| A02 セキュリティ設定の不備 | 5位 | 2位 | ↑ | 大幅に上昇 |
| A03 ソフトウェアサプライチェーンの不備 | （A06相当） | 3位 | ★ | 新設（旧「脆弱で古くなったコンポーネント」を拡張） |
| A04 暗号化の不備 | 2位 | 4位 | ↓ | 順位ダウン |
| A05 インジェクション | 3位 | 5位 | ↓ | 順位ダウン |
| A06 安全性を欠いた設計 | 4位 | 6位 | ↓ | 順位ダウン |
| A07 認証の不備 | 7位 | 7位 | → | 名称変更（旧「識別と認証の不備」） |
| A08 ソフトウェアまたはデータの完全性の不備 | 8位 | 8位 | → | 英語名の微修正（and→or） |
| A09 セキュリティログとアラートの不備 | 9位 | 9位 | → | 名称変更（旧「セキュリティログと監視の不備」） |
| A10 例外的な状況への不適切な対応 | （新規） | 10位 | ★ | 新設 |
※ 変動列の記号：★＝新設カテゴリ、↑↓＝順位変動あり、→＝順位変動なし。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025 Introduction｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
変更の要点は4つに整理できます。1つ目は新設された2カテゴリ（A03 ソフトウェアサプライチェーンの不備、A10 例外的な状況への不適切な対応）、2つ目はSSRFの統合（2021年版で独立項目だったサーバーサイドリクエストフォージェリがA01に統合）、3つ目は名称変更（A07とA09が公式に改名）、4つ目は順位変動（A02が5位から2位へ上昇、A04・A05・A06が順位を下げた）です。
A08は英語名が「and」から「or」へ変わりましたが、公式は意図的な名称変更としては扱っておらず、表記上の変更にとどまるため対応を変える必要はありません。
2025年版で変化が大きかったカテゴリ
ここからは、2025年版で特に関心の高い「新設された2カテゴリ」と「大きく順位が動いたカテゴリ」について、なぜそうなったのかを掘り下げます。
A03 ソフトウェアサプライチェーンの不備（新設）
A03「ソフトウェアサプライチェーンの不備」は、2021年版の「脆弱で古くなったコンポーネント」を拡張して新設されたカテゴリです。公式の定義では、ソフトウェアの構築・配布・更新のプロセスにおける破綻や侵害を指し、システムが依存するサードパーティ製のコードやツール、依存関係における脆弱性や悪意ある変更が対象とされています。
このカテゴリには実務者の関心が集中しており、公式によればコミュニティ調査の回答者のちょうど半数がこのリスクを第1位に選んだとされています。背景には、ビルドシステムや配布インフラ、依存ライブラリを経由した攻撃が現実の脅威として増えていることがあります。
たとえば、ビルドパイプラインが侵害されたSolarWinds事件や、広く使われるライブラリの脆弱性が波及したLog4Shell、npmの依存パッケージを狙った一連の攻撃などが代表例として知られています。
公式が挙げる防止策の中心は、ソフトウェア部品表（SBOM：Software Bill of Materials）の一元的な生成・管理です。あわせて、直接的な依存関係だけでなく推移的な依存関係まで含めた追跡と、コンポーネントやそのバージョンの継続的な目録化が求められます。開発工程でこれらを自動化できる仕組みを備えているかが、対応の分かれ目になります。
出典・参考資料（1件）
- 出典：A03:2025 ソフトウェアサプライチェーンの不備｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/A03_2025-Software_Supply_Chain_Failures）
SBOMの生成・管理や依存関係の継続的な検査を開発・運用に組み込むには、対応するツールの選定が次の検討点になります。SBOM対応や検出した脆弱性の優先順位付けといった観点からの選び方は、以下の記事で比較しています。
A10 例外的な状況への不適切な対応（新設）
A10「例外的な状況への不適切な対応」は、2025年版で新しく加わったもう1つのカテゴリです。公式の説明によれば、このカテゴリは24のCWEで構成され、不適切なエラー処理、論理エラー、安全でない失敗処理（フェイルオープン）、そしてシステムが遭遇しうる異常な状況に起因するシナリオに焦点を当てています。
具体的には、機密情報を含むエラーメッセージの生成、必須パラメータの処理失敗、NULLポインタ参照、安全でない失敗処理といった弱点が含まれます。想定外の状況に陥ったときにシステムが安全側に倒れず、かえって攻撃の糸口を与えてしまう設計・実装上の問題を広く捉えたカテゴリと言えます。
出典・参考資料（1件）
- 出典：A10:2025 例外的な状況への不適切な対応｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/A10_2025-Mishandling_of_Exceptional_Conditions）
大きく順位が変動したカテゴリ（A02↑・A04↓・A05↓）
新設カテゴリ以外では、順位の入れ替わりが目立ちます。最も大きく上昇したのはA02「セキュリティ設定の不備」で、2021年版の5位から2位へと順位を上げました。クラウドやコンテナの利用が広がり、設定ミスに起因するリスクがより重大なものとして評価されるようになったことがうかがえます。
一方で順位を下げたのが、A04「暗号化の不備」（2位→4位）、A05「インジェクション」（3位→5位）、A06「安全性を欠いた設計」（4位→6位）です。これらは依然として上位の重要なリスクであり続けていますが、相対的にサプライチェーンや設定の不備といった領域の存在感が増したことで、順位が後退した形です。順位が下がったからといって対策の優先度を下げてよいわけではない点には注意が必要です。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025 Introduction｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
全10カテゴリの概要・対策
ここでは、A01からA10までの全10カテゴリを、概要と主な対策の観点で確認します。新設のA03・A10は前の章で詳しく扱ったため、ここでは概要と対策に絞って整理します。
A01 アクセス制御の不備（Broken Access Control）
権限を持たないユーザーが、本来アクセスできないデータや機能を操作できてしまう問題です。他人のIDを指定してデータを閲覧できる、管理者向け機能に一般ユーザーが到達できる、といったケースが典型例です。2025年版では、これまで独立項目だったSSRF（サーバーサイドリクエストフォージェリ）もこのカテゴリに統合されました。
対策としては、デフォルトですべてのアクセスを拒否し、必要な権限だけをサーバー側で検証する設計が基本となります。アクセス制御は攻撃者が最も狙いやすい領域であり、2025年版でも最大のカテゴリ（40件のCWEがマッピング）です。
A02 セキュリティ設定の不備（Security Misconfiguration）
サーバーやフレームワーク、クラウドサービスの設定が安全でない状態のまま運用されている問題です。初期パスワードの放置、不要な機能の有効化、過剰な権限付与、エラーメッセージからの情報漏えいなどが該当します。
対策は、環境ごとに設定を標準化し、不要なコンポーネントを削減したうえで、設定内容を継続的に検査する運用が中心となります。
A03 ソフトウェアサプライチェーンの不備（Software Supply Chain Failures）
前章で詳しく解説した新設カテゴリです。依存ライブラリやビルド・配布プロセスを経由した侵害が対象で、対策の中心はSBOMの管理と依存関係の継続的な追跡・検査です。開発工程に依存関係検査（SCA）とSBOM生成を組み込めているかが鍵となります。
A04 暗号化の不備（Cryptographic Failures）
通信や保存データの暗号化が適切に行われていない問題です。古い暗号方式の利用、TLS設定の不備、暗号鍵のハードコーディングなどが代表例です。対策としては、保護すべきデータを分類したうえで、通信・保存の両面で最新の暗号方式を用い、鍵の管理を適切に行うことが求められます。TLS設定の不備は実際に多く見られるため、定期的な設定診断が有効です。
A05 インジェクション（Injection）
ユーザーからの入力値が適切に処理されず、SQLやOSコマンド、スクリプトなどとして実行されてしまう問題です。SQLインジェクションやクロスサイトスクリプティング（XSS）が代表例です。対策は、プレースホルダ（パラメータ化クエリ）の利用や入力値の検証、出力時のエスケープ処理が基本となります。古くからあるリスクですが、現在も重要な対策対象です。
A06 安全性を欠いた設計（Insecure Design）
実装のミスではなく、設計段階でセキュリティが考慮されていないことに起因する問題です。たとえば、業務ロジックに悪用の余地がある、想定される脅威への対策が設計に織り込まれていない、といったケースです。コードの自動スキャンでは見つけにくく、脅威モデリングや設計レビューといった上流工程での取り組みが対策の中心となります。
A07 認証の不備（Authentication Failures）
ログインやセッション管理が適切でないために、なりすましや不正ログインを許してしまう問題です。2025年版では、旧名称「識別と認証の不備」から「認証の不備」へと改名されました。対策としては、多要素認証の導入、推測されやすいパスワードの排除、総当たり攻撃への対策、セッションの適切な管理などが挙げられます。認証情報は攻撃者に狙われやすいため、継続的な強化が欠かせません。
A08 ソフトウェアまたはデータの完全性の不備（Software or Data Integrity Failures）
ソフトウェアの更新やデータが、改ざんされていないことを検証できていない問題です。署名のない更新の適用や、信頼できないソースからのコード取り込み、CI/CDパイプラインの保護不足などが該当します。対策は、デジタル署名による検証、依存関係の取得元の信頼性確認、パイプラインのアクセス制御などです。A03のサプライチェーン対策とあわせて取り組むことで効果が高まります。
A09 セキュリティログとアラートの不備（Security Logging and Alerting Failures）
攻撃や不正の兆候を記録・検知し、適切に対応する仕組みが不足している問題です。2025年版では、旧名称「セキュリティログと監視の不備」から「セキュリティログとアラートの不備」へと改名され、記録するだけでなく、適切なアクションを促すアラート機能の重要性が強調されました。対策は、重要なイベントのログ取得、改ざん防止、異常検知とアラートの仕組み、そしてインシデント対応プロセスとの連携です。
A10 例外的な状況への不適切な対応（Mishandling of Exceptional Conditions）
前章で解説した新設カテゴリです。想定外の状況でシステムが安全側に倒れず、エラー処理の不備やフェイルオープンによって攻撃の糸口を与えてしまう問題を扱います。対策としては、エラーや例外を安全に処理する設計、機密情報を含まないエラーメッセージ、失敗時に安全側へ倒す（フェイルクローズ）実装が中心となります。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025（各カテゴリ詳細）｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
各リスクに対応する診断手段の選び方
OWASP Top 10の各カテゴリを自社で確認するには、リスクの性質に応じて診断手段を使い分ける必要があります。ツールによる自動スキャンで見つけやすいものもあれば、人手による検証や設計レビューが欠かせないものもあります。ここでは、各カテゴリと主な診断手段の対応関係を整理します。
カテゴリ別・主な診断手段の対応
診断手段は、大きく「稼働中のアプリに疑似攻撃を行う動的診断（DAST）」「ソースコードを静的に解析する診断（SAST）」「依存ライブラリを検査するSCA・SBOM」「クラウド設定を点検するCSPM」「人手で攻撃を試みるペネトレーションテスト」「上流工程での設計レビュー」に分かれます。各カテゴリとの対応は以下のとおりです。
| カテゴリ | 主な診断手段 | 自動化の目安・補足 |
|---|---|---|
| A01 アクセス制御の不備 | Webアプリ診断（DAST）＋ペネトレーションテスト | 権限の抜け道は文脈依存で、人手の検証が有効 |
| A02 セキュリティ設定の不備 | クラウド設定診断（CSPM）・プラットフォーム診断 | ツールで自動検出しやすい |
| A03 ソフトウェアサプライチェーンの不備 | 依存ライブラリ検査（SCA）・SBOM生成 | ツールで自動化しやすい |
| A04 暗号化の不備 | Webアプリ診断（TLS設定）・ソースコード診断（SAST） | 設定面は自動、鍵管理は人手の確認も |
| A05 インジェクション | Webアプリ診断（DAST）・ソースコード診断（SAST） | ツールで自動検出しやすい |
| A06 安全性を欠いた設計 | 設計レビュー・脅威モデリング | 自動検出は困難。上流工程での人手が中心 |
| A07 認証の不備 | Webアプリ診断・ペネトレーションテスト | 自動・人手の併用が有効 |
| A08 完全性の不備 | SCA・CI/CDパイプラインの診断（SAST含む） | ツールで自動化しやすい |
| A09 セキュリティログとアラートの不備 | 設計レビュー・運用（監視体制）の点検 | 自動検出は困難。体制の確認が中心 |
| A10 例外的な状況への不適切な対応 | ソースコード診断（SAST）・手動診断 | エラー処理の網羅は人手の確認も有効 |
自動化しやすいカテゴリ（A02・A03・A05・A08）は、SaaS型の診断ツールを開発・運用プロセスに組み込んで継続的に確認するのが効率的です。一方、A06「安全性を欠いた設計」やA09「ログとアラートの不備」のように自動検出が難しい領域は、設計レビューや運用体制の点検、専門家によるペネトレーションテストを組み合わせる必要があります。
このように、ツールで洗い出す脆弱性診断と、攻撃者の視点で侵入可否を検証するペネトレーションテストは役割が異なります。両者の目的・費用・使い分けを整理して検討したい場合は、以下の記事が参考になります。
ペネトレーションテストと脆弱性診断の違いを比較｜目的・費用・選び方まで解説
セキュリティ診断の導入を検討し始めると、「ペネトレーションテスト」と「脆弱性診断」という似た言葉に出会い、どちらを頼めばよいのか迷う場面が少なくありません。名前は違っても目的が近そうに見えるため、社内や取引先に説明するときも整理に困りがちで…
2025年版への移行で見直したいポイント
2025年版の公開を機に、社内の体制を見直す際は次の3点が実務的な着手点になります。1つ目は、社内のセキュリティチェックリストや開発ガイドラインを2025年版のカテゴリ構成に合わせて更新し、新設のA03・A10に対応する項目が抜けていないか確認することです。
2つ目は、利用している診断ツール・静的解析ツールの検査ルールが2025年版に対応しているかを確認すること。3つ目は、新設のA03に備えて、依存ライブラリの検査（SCA）とSBOMの生成・管理を開発工程に組み込むことです。これまで手薄だった領域があれば、対応する診断手段から優先的に整えていくとよいでしょう。
各リスクに対応する診断サービス・ツール
ここからは、OWASP Top 10の各リスクを確かめるために活用できる診断サービス・ツールを紹介します。開発工程に組み込める自動型のSaaSから、専門家が手動で検査する受託型の診断サービスまで、カバーする手法や対象が異なります。自社の開発・運用体制に合わせて選ぶ際の参考にしてください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | AeyeScan | Securify | VAddy | GMOサイバーセキュリティ byイエラエ | 脆弱性診断サービス（MBSD） | セキュリティ診断（NRIセキュア） | 脆弱性診断・セキュリティ診断（ラック） | SQAT |
|---|---|---|---|---|---|---|---|---|---|---|
| 診断方式 | ツール自動診断（SaaS） | AI自動診断＋専門家レビュー（受託） | ツール自動診断（SaaS） | ツール自動診断（SaaS） | ツール自動診断（SaaS） | 手動診断（受託）＋ツール型ASM（SaaS） | 手動主体＋ツール併用（受託） | 手動主体＋ツール併用（受託） | 手動主体＋ツール併用（受託） | ハイブリッド（手動＋独自自動診断）（受託） |
| 診断対象 | ソースコード／依存ライブラリ／クラウド設定／コンテナ／稼働中のWebアプリ | ソースコード／Webアプリ・API／ペネトレーションテスト | Webアプリ／SPA／API（オプション）／Androidアプリ | Webアプリ・API／クラウド設定（CSPM）／外部公開資産（ASM）／SBOM | Webアプリ／APIサーバー（REST API） | Web／スマホ／クラウド／ネットワーク／IoT／ブロックチェーン／AI／外部公開資産 | Webアプリ／ネットワーク／スマホアプリ／IoT・OT／ペネトレ／設計レビュー | Web／プラットフォーム／スマホ／API／クラウド設定／ソースコード／ブロックチェーン／AI／IoT・OT | Web／プラットフォーム／クラウド設定／スマホ／IoT／ペネトレ／TLPT | Web／ネットワーク／スマホ／IoT／クラウド設定／ソースコード／ペネトレ／アタックサーフェス |
| 主なOWASPカバレッジ観点 | A02・A03・A05（設定／サプライチェーン／インジェクション）を横断 | A05・A10などコード起因＋Web・APIの稼働面 | A01・A05など稼働面（DAST中心） | A02・A03＋Web・API（設定／SBOM） | A05など稼働面（DAST中心・CI/CD継続診断） | A01・A06など文脈依存リスクを人手で検証 | A06など上流＋Web・ペネトレ | Top 10ほぼ全カテゴリ（設計レビュー〜ペネトレ） | A09の運用面まで（診断＋JSOC監視・インシデント対応） | 幅広い対象を手動＋自動で（外部／内部視点を併用） |
| 料金の目安 | 無料プランあり／有償はBasic 年額3,780ドル〜・Pro 年額7,560ドル〜（2026年11月時点） | ソースコードAI診断15万円〜／動的診断30万円〜／Webペネトレーションテスト60万円〜 | 個別見積もり（回数無制限の定額制） | 月額5万円〜（脆弱性診断STARTER、年額60万円） | 月額19,800円〜（Professional、初期費用0円・税別） | 手動診断は個別見積もり／ネットde診断ASM 月額4万円〜 | 個別見積もり | 個別見積もり（ペネトレーションテストは800万円〜・税別） | Web診断エクスプレス30万円〜（規模に応じ個別見積もり） | 個別見積もり |
| 無料トライアル | ●無料プランあり | × | ●2サイト | ●最短即日 | ●1週間 | × | × | × | × | × |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※ 料金・内容は2026年11月時点の各社公式情報に基づきます。最新の内容は各社の公式サイト・資料でご確認ください。
一括ダウンロードする
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの管理画面で検査できるSaaS型の脆弱性診断ツールです。
SAST・SCA・CSPM・DAST・ASMといった複数の診断手法を統合しているため、OWASP Top 10の中でも自動化しやすいA03（サプライチェーン＝SCA・SBOM）やA02（設定の不備＝CSPM）、A05（インジェクション）を横断的に確認できる点が特徴です。
無料のDeveloperプランがあり、導入前に試せるほか、日本窓口である株式会社AndGoを通じて日本円の請求書払いにも対応しています。有償プランはBasicが年額3,780ドル、Proが年額7,560ドルからで、オンプレミスでのスキャンやSSOなどが上位プランで利用できます（2026年11月時点）。
新設のA03対策として、依存関係の検査やSBOM管理を開発工程に組み込みたい場合に適した選択肢です。
診断を開発工程に組み込む考え方の背景について、日本窓口である株式会社AndGoの原氏は、MCB FinTechカタログのインタビューで次のように述べています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発AI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた診断サービスです。メニューは「ソースコードAI診断」「動的脆弱性診断（Web／API診断）」「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3つで、ソースコード診断単体から段階的に選べます。
ソースコードAI診断はA05（インジェクション）やA10（例外処理）といったコード起因のリスクの確認に、動的診断はWeb・APIの稼働面の確認に向いています。AIによる自動解析と専門家レビューを組み合わせることで、ツールだけでは見落としやすい箇所も人の目で確認できる構成です。派生サービスとして、OWASP LLM Top 10に準拠した生成AI・LLMの脆弱性診断も提供されています。
診断の頻度をめぐる状況の変化について、CoWorker株式会社の一ノ瀬氏は、MCB FinTechカタログのインタビューで次のように語っています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
3. AeyeScan（株式会社エーアイセキュリティラボ）
AeyeScanは、ブラウザから使えるクラウド型のWebアプリケーション脆弱性診断ツールです。専門知識がなくても自動診断（DAST）を内製で実施でき、A05（インジェクション）やA01（アクセス制御）など稼働面のリスク確認に向きます。料金は回数無制限の定額制で、無料トライアルも用意されています。
4. Securify（株式会社スリーシェイク）
Securifyは、ASM（攻撃対象領域管理）と脆弱性診断を同一サービスで扱えるクラウド型のSaaSです。Web・API診断に加えCSPM（クラウド設定）やSBOMも備え、A02やA03を含む複数カテゴリを確認できます。脆弱性診断は月額5万円からで、無料トライアルも用意されています（2026年11月時点）。
5. VAddy（株式会社ビットフォレスト）
VAddyは、CI/CDパイプラインに組み込んで継続的に脆弱性スキャンを回せる開発者向けのクラウド型診断ツールです。リリース前や夜間に自動診断を繰り返せ、REST APIも検査できます。料金は月額19,800円から、スキャン回数無制限・初期費用0円で、1週間の無料トライアルもあります（2026年11月時点）。
6. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエは、ホワイトハッカーによる手動主体の脆弱性診断・ペネトレーションテストを中核とする専門企業です。ツールでは検出しにくいA01やA06など文脈依存のリスクを人の視点で検証でき、継続運用向けのツール型ASM（攻撃面管理）も提供します。料金は個別見積もりです。
7. 脆弱性診断サービス（MBSD／三井物産セキュアディレクション株式会社）
三井物産セキュアディレクション（MBSD）は、三井物産グループのセキュリティ専門企業です。専門アナリストによるWebアプリ診断・ペネトレーションテスト・設計レビューを提供し、設計段階からの対策（A06）など専門家の視点が要る領域に強みがあります。料金は個別見積もりです。
8. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
NRIセキュアテクノロジーズは、NRIグループのセキュリティ専業会社です。Web・API・クラウド設定・ソースコードなど幅広い対象を手動主体で診断し、OWASP Top 10のほぼ全カテゴリを一社でカバーします。設計レビューから攻撃シミュレーション（ペネトレーションテスト）まで対応し、料金は個別見積もりです。
9. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックは、脆弱性診断とペネトレーションテストを使い分けて提供するセキュリティ専門企業です。診断に加えJSOC（監視）やサイバー救急センター（インシデント対応）を同一ベンダーで組み合わせられ、A09の運用面まで相談できます。Web診断は30万円からで、規模に応じ個別見積もりとなります（最新の料金は要確認）。
10. SQAT（株式会社ブロードバンドセキュリティ）
SQAT（エスキュート）は、株式会社ブロードバンドセキュリティが提供する脆弱性診断サービスです。手動診断と独自の自動診断を組み合わせたハイブリッド方式で、Web・ネットワーク・ソースコードなど幅広い対象に対応します。最短7営業日の短納期メニューもあり、料金は個別見積もりです。
ここまで紹介したのは、OWASP Top 10への対応に役立つ診断サービス・ツールの一部です。手動診断とツール診断の違いや費用相場、選び方まで含めて脆弱性診断サービスを幅広く比較したい場合は、以下の記事で診断方法・費用・選び方を詳しく解説しています。
Top 10に入らなかった補完項目（Next Steps）
OWASP Top 10は、設計上あくまで最も重大な10のリスクに限定されています。そのため、2025年版では本体に入らなかったものの注目すべきリスクが「Next Steps（次の一手）」として別途まとめられています。これらはTop 10本体のA01〜A10とは区別された補完項目で、以下の3つが挙げられています。
- X01:2025 アプリケーション・レジリエンスの欠如（Lack of Application Resilience）
- X02:2025 メモリ管理の失敗（Memory Management Failures）
- X03:2025 AI生成コードへの不適切な信頼（Inappropriate Trust in AI Generated Code／「バイブ・コーディング（Vibe Coding）」）
このうちX03「AI生成コードへの不適切な信頼」は、生成AIが出力したコードを十分に検証しないまま取り込むことで脆弱性が混入するリスクを指し、しばしば「バイブ・コーディング」と呼ばれます。これらはTop 10本体には含まれませんが、今後注視すべきリスクとして公式が取り上げています。
本体のカテゴリと同列に扱うものではありませんが、AIを活用した開発を進める企業は把握しておくとよいでしょう。
出典・参考資料（1件）
- 出典：Next Steps – OWASP Top 10:2025｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/X01_2025-Next_Steps）
まとめ
OWASP Top 10 2025では、A03「ソフトウェアサプライチェーンの不備」とA10「例外的な状況への不適切な対応」が新設され、SSRFのA01への統合、A07・A09の名称変更、A02の大幅な順位上昇など、2021年版からの変更が多岐にわたります。背景には、クラウドや依存ライブラリを経由した脅威の増大があり、開発工程そのものを守る視点がより重視されるようになりました。
自社の対応を進めるうえでは、まず社内のチェックリストや開発ガイドラインを2025年版に合わせて更新し、各カテゴリを確認するための診断手段を整えることが実務的な第一歩となります。特に新設のA03に対しては、依存関係検査（SCA）やSBOM管理を開発工程に組み込めるツールの活用が有効です。本記事で紹介した診断サービス・ツールの資料を比較し、自社の体制に合った手段を選んでください。
一括ダウンロードする
よくある質問（FAQ）
Q. OWASP Top 10とは何ですか？
A. OWASP Top 10は、Webアプリケーションで最も深刻なセキュリティリスクを10項目にまとめた、OWASP（Open Worldwide Application Security Project）による標準的な啓発資料です。多数のアプリケーションから収集した脆弱性データと、実務者を対象としたコミュニティ調査の両方をもとに選定され、セキュア開発の共通言語として世界的に参照されています。
おおむね3〜4年ごとに改訂されており、2025年版は第8版にあたります。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025 Introduction｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
Q. OWASP Top 10 2025はいつ公開されましたか？
A. OWASP Top 10の2025年版は、2025年11月に公開候補版（RC）が、2025年12月に正式版が公開されました。2021年版以来およそ4年ぶりの改訂で、通算では第8版にあたります。新しいカテゴリの新設や順位の入れ替わりを含むため、社内のチェックリストや開発ガイドラインを基準にしている場合は、正式版を踏まえた最新化が必要です。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025｜OWASP（https://top10.owasp.org/2025）
Q. OWASP Top 10はどのくらいの頻度で更新されますか？
A. OWASP Top 10は、おおむね3〜4年に1度のペースで更新されています。これまで2003・2004・2007・2010・2013・2017・2021・2025年版が公開されてきました。更新のタイミングは、データ収集のサイクルや脅威動向の大きな変化に左右されるため、厳密に年数が固定されているわけではありません。
Q. OWASP Top 10 2025で新設されたカテゴリは何ですか？
A. OWASP Top 10 2025で新設されたのは、A03「ソフトウェアサプライチェーンの不備」とA10「例外的な状況への不適切な対応」の2カテゴリです。A03は2021年版の「脆弱で古くなったコンポーネント」を拡張したもので、依存ライブラリやビルド・配布プロセスを経由した侵害を対象とします。
A10は、不適切なエラー処理やフェイルオープン（安全でない失敗処理）など、想定外の状況への対応の不備を広く扱うカテゴリです。
出典・参考資料（1件）
- 出典：A03:2025／A10:2025｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
Q. OWASP Top 10 2025にマッピングされているCWEはいくつですか？
A. OWASP Top 10 2025では、248個のCWE（共通脆弱性タイプ）が10のカテゴリにマッピングされています。最も多いのはA01「アクセス制御の不備」で、単独で40個のCWEが対応づけられた最大のカテゴリです。また、Parasoftの解説によれば、この248個は2021年版の218個から増加したものとされています。
出典・参考資料（2件）
- 出典：OWASP Top 10:2025 Introduction｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/）
- 参考：OWASP Top 10:2025: Webアプリケーション脆弱性リスト最新版の解説｜Parasoft／TechMatrix（https://parasoft.techmatrix.jp/owasp-top-10-2025）
Q. OWASP Top 10 2025の原文・日本語版はどこで入手できますか？
A. OWASP Top 10 2025は、原文がowasp.org（top10.owasp.org/2025）で、日本語訳がOWASP Japan ChapterのGitHubで、いずれも無料で公開されています。公式サイトではHTML・PDF形式で全文を閲覧でき、カテゴリごとのCWEマッピングや修正ガイダンスも参照できます。
訳語は解説記事によって表記がわずかに異なることがあるため、社内標準に反映する際は公式の表記を基準にすると安全です。
出典・参考資料（2件）
- 出典：OWASP Top 10:2025 List｜OWASP（https://top10.owasp.org/2025）
- OWASP Top 10:2025 日本語訳｜OWASP Japan Chapter（https://github.com/owasp-ja/Top10）
Q. OWASP Top 10で順位が下がったカテゴリは、対策の優先度を下げてよいですか？
A. 順位が下がっても、対策の優先度を下げてよいわけではありません。2025年版ではA04「暗号化の不備」（2位→4位）、A05「インジェクション」（3位→5位）、A06「安全性を欠いた設計」（4位→6位）が順位を下げましたが、これはサプライチェーンや設定不備といった領域の相対的な存在感が増した結果です。
これらが依然として上位の重大なリスクであり続けている点は変わらないため、従来どおりの対策を維持する必要があります。
Q. OWASP Top 10に準拠すれば、Webアプリは安全といえますか？
A. OWASP Top 10に準拠しても、それだけでWebアプリの安全が保証されるわけではありません。Top 10は設計上、最も重大な10のリスクに絞った啓発資料です。
公式も、本体に入らなかった注目リスクを「Next Steps（次の一手）」として別途まとめており、X01「アプリケーション・レジリエンスの欠如」、X02「メモリ管理の失敗」、X03「AI生成コードへの不適切な信頼（Vibe Coding）」が挙げられています。Top 10は安全確保の出発点・基盤と位置づけ、自社のリスクに応じて対策範囲を広げることが重要です。
出典・参考資料（1件）
- 出典：Next Steps – OWASP Top 10:2025｜OWASP Japan Chapter（https://top10.owasp.org/2025/ja/X01_2025-Next_Steps）
Q. OWASP Top 10 2025への対応は、自社ではどの診断から始めればよいですか？
A. まず稼働中のWebアプリを対象としたWebアプリケーション脆弱性診断（DAST）から着手し、新設のA03に備えて依存ライブラリ検査（SCA）とSBOM生成を加えるのが実務的な進め方です。
自動化しやすいA02・A03・A05・A08はSaaS型の診断ツールを開発・運用プロセスに組み込んで継続的に確認し、A06「安全性を欠いた設計」やA09「ログとアラートの不備」のように自動検出が難しい領域は、設計レビューや運用体制の点検、専門家によるペネトレーションテストで補うとよいでしょう。自社の開発体制や内製・外注の方針に応じて、本記事で紹介した診断サービス・ツールを使い分けてください。
Q. OWASP Top 10とAPI版・モバイル版は何が違いますか？
A. OWASP Top 10（2025年版）がWebアプリケーション全般のリスクを扱うのに対し、API版・モバイル版はそれぞれAPI・モバイルアプリ特有のリスクに焦点を当てた別のリストです。OWASP API Security Top 10やOWASP Mobile Top 10は、標準のTop 10とは別のコミュニティが独立した周期で管理しており、対象とするリスクの範囲が異なります。
自社がAPIやモバイルアプリを提供している場合は、該当するリストもあわせて確認することをおすすめします。
Q. OWASP Top 10への準拠は、PCI DSSなどの規格対応になりますか？
A. OWASP Top 10への準拠が、そのままPCI DSSやSOC 2、HIPAAなどの規格・法令への準拠を意味するわけではありません。ただしParasoftの解説によれば、PCI DSS 4.0やSOC 2のセキュア開発基準などは、OWASP Top 10への対応をセキュアコーディングの実践を示すものとして位置づけているとされます。
OWASP Top 10は、各種規格に対応するための基盤となるレイヤーの一つと捉えるのが適切です。
出典・参考資料（1件）
- 出典：OWASP Top 10:2025解説｜Parasoft／TechMatrix（https://parasoft.techmatrix.jp/owasp-top-10-2025）
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、OWASP Top 10への対応に役立つ脆弱性診断サービス・SaaSの最新資料を無料で一括請求できます。対応する診断手法や料金、診断対象を比べて、自社に合うサービスを効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
