OWASPは「オワスプ」と読み、正式名称をOpen Worldwide Application Security Projectといいます。アプリケーションセキュリティの資料とツールを無償で公開している米国の非営利団体で、Top 10やASVSは日本でも開発標準や診断項目の下敷きになっています。ただし「OWASPの資料」の中身は啓発文書・検証要件・試験手順・ツールと役割が別々で、すでにOWASPを離れたプロジェクトも混じっています。この記事では、組織としてのOWASPの実体、主要プロジェクトの守備範囲と2026年11月時点の版、公式日本語訳の入手先、開発工程への組み込み方を一次情報で整理します。
まとめ
- 読み方は「オワスプ」。OWASP Top 10は「オワスプ・トップテン」と読む。英語の正式なプロジェクト名が「OWASP Top Ten」で、OWASP Japanチャプターは主催イベントを「オワスプナイト」と表記している。
- 正式名称はOpen Worldwide Application Security Project。2023年2月15日の理事会で「Web」を「Worldwide」に改める動議が6対0で可決された。
- 米国の501(c)(3)非営利法人で、郵送先はデラウェア州ウィルミントン（2001年12月1日発足、2004年4月21日法人化、EIN 20-0963503）。欧州の窓口はブリュッセルのOWASP Operations Europe iVZW。
- 成果物に法的強制力はない。Top 10は自らを啓発資料と定義している。検収条件や診断項目にするならASVS、試験手順ならWSTGを使う。
- Top 10は対象別に複数ある。主なものはWeb（2025年版）、API（2023年版）、LLM（2026年版）、エージェント型AI（2026年版）、モバイル（2024年版）で、版も更新時期も別々。
- ZAPはもうOWASPのプロジェクトではない。2023年にOWASPを離れ、現在はZAP Core Teamが管理する独立したオープンソースで、中核メンバー3名をCheckmarxが雇用している。
- Top 10:2025には公式日本語訳がある。公式サイトの top10.owasp.org/2025/ja/ で全10項目を日本語で読める。
OWASPの読み方と正式名称、組織としての実体
「オワスプ」と読む根拠とTop 10・ASVSの読み方
日本語の読みは「オワスプ」です。OWASP Japanチャプターの公式ページは主催イベントを「オワスプナイト」と表記し、参加申込先を Doorkeeper の「オワスプジャパン」ページと案内しています。運営主体自身がこの仮名を当てているので、日本語ではこれが事実上の正式な読みです。
「OWASP Top 10」は「オワスプ・トップテン」と読みます。プロジェクトの公式ページの名称が「OWASP Top Ten」と英語の数詞で書かれているためです。ASVSはApplication Security Verification Standardの頭字語なので、アルファベットのまま「エー・エス・ブイ・エス」と読み下します。ASVSのREADMEが案内する5.0.0の翻訳版はトルコ語・フランス語・韓国語で、2026年11月時点で日本語版はありません。
Webからワールドワイドへ：2023年2月の改称
正式名称はOpen Worldwide Application Security Projectです。長らくOpen Web Application Security Projectでしたが、2023年2月15日にダブリンで開かれた理事会で改称の動議が出されました。内容は「現在と今後のすべての表記を Open Worldwide Application Security Project に改める」というもので、議事録には出席理事6名の全員賛成（6対0）で可決したと記録されています。
議事録に残っているのは動議の文面と投票結果で、改称理由の説明はありません。日本語の解説記事には旧称のままのものがまだ残っています。旧称が書かれた資料を見つけたら、更新日と参照元の版を確かめてから使ってください。
どこの国の組織か：デラウェアの501(c)(3)非営利法人
OWASP Foundationは米国の非営利法人です。About ページによれば、2001年12月1日に活動を開始し、2004年4月21日にOWASP Foundation, Inc.として法人化されました。米国税法の501(c)(3)に該当する非営利団体で、問い合わせページには郵送先住所（300 Delaware Ave Ste 210 #384, Wilmington, DE 19801）とEIN 20-0963503が載っています。欧州の窓口は、ブリュッセルにあるOWASP Operations Europe iVZW（VAT BE 1030553734）です。
About ページが掲げる規模は、地域チャプターが250以上、コミュニティメンバーが10万人以上、活動中のプロジェクトが275以上です。運営方針としてOpen（財務からコードまで透明）、Innovation、Global、Integrity（ベンダー中立）の4つをCore Valuesに掲げています。ベンダー中立が明文化されているので、ツール選定や社内方針の根拠としてOWASP文書を引用できます。
OWASP成果物の位置づけ：啓発資料と検証標準の違い
OWASPの成果物に法的な強制力はなく、文書ごとに性質が違います。Top 10は原文で自らを a standard awareness document（標準的な啓発資料）と定義しており、Top 10そのものに準拠を認証する制度はありません。一方のASVSは検証標準で、CRESTのOVSのように、ASVSとモバイル向けのMASVSに基づく評価を行う事業者の認定制度もあります。
調達仕様書やRFPに「Top 10に準拠」と書かれていることがありますが、Top 10は10個のカテゴリにすぎません。2025年版では、序文の集計で248件のCWE（脆弱性の型）がその下にぶら下がっており、最多のA01（アクセス制御の不備）だけで40件あります。「準拠」と言うなら、どのCWEをどう検証したかを示す必要があります。その粒度を持っているのはTop 10ではなくASVSです。
一方、無償でベンダー中立なので、社内ガイドラインや教育の共通言語にしやすい資料です。転載や改変をするときは、ASVSならCC BY-SA 4.0というように成果物ごとのライセンス条件に従います。外部の基準に引用されて間接的に効力を持つこともあり、PCI DSS v3.2.1の要件6.5の注記は、最新のベストプラクティスの例として「OWASP Guide」を挙げていました。
OWASP Top 10の主な系統：Web・API・LLM・エージェント・モバイルの版
「OWASP Top 10」と呼ばれるリストは1つではありません。IoTや制御系（OT）向けなどもあり、ここでは開発現場で参照されることの多い5つを挙げます。対象別のリストは別々のチームで維持されていて、版の付け方も更新時期も揃っていません。自社が作っているものに合わないリストを見ても、対策はずれます。社内文書で引用するときは「どの系統の何年版か」をセットで書いてください。
| 系統 | 対象 | 2026年11月時点の版 |
|---|---|---|
| Top 10（Web） | Webアプリ全般 | 2025年版（第8版） |
| API Security Top 10 | Web API | 2023年版 |
| Top 10 for LLM Applications | LLM組み込みアプリ | 2026年版（2026-08-03） |
| Top 10 for Agentic Applications | AIエージェント | 2026年版（2025-12-09） |
| Mobile Top 10 | iOS・Androidアプリ | 2024年版 |
Web版の項目と2021年版からの変更点はOWASP Top 10 2025（最新版）の10項目と2021年版からの変更点で扱っています。バックエンドをAPI中心に組んでいるなら、オブジェクト単位の認可不備（BOLA）を1位に置くAPI Security Top 10のほうが実態に合います。項目ごとの解説はOWASP API Security Top 10 2023の全10項目にまとめています。
生成AIの系統は、OWASP内のプロジェクトである OWASP GenAI Security Project が genai.owasp.org で公開しています。LLM向けは2026年版が2026年8月3日付で公開されました。自律的にツールを呼び出すエージェント型のアプリには、2025年12月9日公開のTop 10 for Agentic Applications 2026（ASI01〜ASI10）が別に用意されています。issohのOWASP Top 10 for LLMの解説記事は2025年版が基準なので、2026年版の差分は原文で確認してください。Mobile Top 10は、2016年版の次の版にあたる2024年版が正式版です。
SPAとAPIで構成し、問い合わせ対応にLLMを組み込んだサービスなら、Web・API・LLMの3つを併読します。
OWASPの主要プロジェクト早見：Top 10・ASVS・WSTG・Cheat Sheet・SAMM
About ページが数えるプロジェクトは275以上ありますが、日本の開発現場で名前が挙がるのは一部です。守備範囲が重ならないよう役割で並べると次のようになります。版は各プロジェクトのGitHubリリースで2026年11月3日に確認したものです。
| プロジェクト | 種別 | 現行の版と日付 | 使う工程 |
|---|---|---|---|
| Top 10 | 啓発文書 | 2025年版 | 教育・設計レビュー |
| ASVS | 検証要件 | 5.0.0（2025-05-30） | 要件定義・検収 |
| WSTG | 試験手順 | v4.2（2020-12-03） | テスト設計・診断 |
| Cheat Sheet Series | 実装リファレンス | 137シート | 実装・コードレビュー |
| SAMM | 成熟度モデル | v2.2.0（2026-07-06） | 組織のプロセス評価 |
| Dependency-Check | 依存関係スキャナ | 13.0.0（2026-08-03） | ビルド |
| Amass | 攻撃面調査ツール | v5.1.3（2026-10-25） | 診断範囲の洗い出し |
| Juice Shop | 脆弱な練習用アプリ | v20.3.0（2026-10-11） | 教育・ツールの試験 |
Top 10：第8版にあたる2025年版と2021年版からの移行
Top 10はこれまで2003・2004・2007・2010・2013・2017・2021・2025年に発行されており、2025年版の序文は自らを第8版と書いています。2010年以降は3〜4年おきの改訂です。2025年版は提供データで並べたカテゴリに、コミュニティ調査で選ばれた2つを加えて10項目を決めています。テストで自動検出できるものだけを並べると、まだ検出手法が確立していないリスクが抜け落ちるためです。
2025年版は2025年11月にリリース候補（RC）として公開され、GitHubリポジトリで2025年12月24日にRC表記が削除されて正式版になりました。社内標準やチェックリストが「A0x:2021」の番号で書かれている場合は、参照先を差し替えてください。2021年版からは新設2・統合1・改称2があり、同じ番号でも中身が違うので、2025年版へ移る際は番号の対応を確かめてください。
ASVS：検収条件にできる検証要件とL1〜L3の決め方
ASVSは、Top 10が「何が危ないか」を示すのに対して、「何をどこまで検証すれば良しとするか」を要件の形で定義した文書です。要件定義書やRFPにセキュリティ要件を書くとき、Top 10のカテゴリ名では粗すぎて検収条件になりません。そのため実務ではASVSの要件番号を引用します。
現行の安定版は5.0.0（2025年5月30日）で、前のリリースの4.0.3（2021年10月28日）から3年7か月ぶりの更新です。GitHubには「latest」というタグもありますが、これは開発中の内容を自動で出し直す先行版で、本番の参照には使わないよう注記されています。5.0.0の章立てはV1（エンコードとサニタイズ）からV17（WebRTC）までの17章です。4系の要件番号で書いた社内標準は、番号の対応を取り直す必要があります。
要件はL1〜L3の3段階に分かれています。L1は最低限の出発点で全要件の約20%。L2は「ほとんどのアプリケーションが目指すべき水準」とされ、L1とL2を合わせて全要件の約70%を満たします。L3は最高水準を示したいアプリ向けで、残り約30%が加わります。どのレベルを選ぶかはASVS自身は指定しておらず、組織がリスクから決めるものとしています。
WSTG：検証要件と試験手順の対応
WSTG（Web Security Testing Guide）は、Webアプリを「どう試験するか」の手順書です。ASVSが合否の物差し、WSTGが測り方という関係になります。プロジェクトページによれば、版を付けた現行のリリースはv4.2で、次の5.0は開発中です。v4.2は2020年12月公開なので、5.0が出るまでは、新しい攻撃手法はGitHub上の開発版（latest）で補う必要があります。
Cheat Sheet Series・SAMM・Amassの守備範囲
Cheat Sheet Seriesは、パスワード保存やCSRF対策といったテーマごとに実装の具体策をまとめた短い文書群です。公式の索引には2026年11月時点で137シートが載っています。「Top 10で危険を知り、ASVSで要件を決め、Cheat Sheetで書き方を確認する」という順で使えば役割が重なりません。
SAMMは個々のアプリではなく、組織の開発プロセスの成熟度を測るモデルです。中核リポジトリの最新リリースはv2.2.0（2026年7月6日）ですが、owasp.orgのプロジェクトページの表示は更新が遅れることがあります。版はGitHubのリリースで確認してください。Amassは外部公開されているドメインやホストを洗い出す攻撃面調査ツールで、2026年10月25日にv5.1.3が出ています。
Dependency-CheckとJuice Shop：依存関係の検査と練習環境
Dependency-Checkは、プロジェクトが使っているライブラリに既知の脆弱性（CVE）が無いかを照合するツールです。OWASPの分類では最上位のFlagshipプロジェクトです。開発リポジトリは dependency-check/DependencyCheck に移り、旧パスの jeremylong/DependencyCheck はアーカイブ済みなので、古い手順書のURLには注意してください。持ち込んだ部品を調べる検査（SCA）にあたり、静的解析との違いはSCAとは？ソフトウェア構成分析の仕組みとSAST・SBOMとの違いで整理しています。
Juice Shopは脆弱性を意図的に埋め込んだ練習用のWebアプリで、診断ツールの検出力の確認や研修に使います。公開ネットワークには置かず、隔離した環境で動かしてください。PHP製の練習環境が必要ならDVWAの環境構築とセキュリティレベルの使い方も選択肢になります。
OWASP ZAPがOWASPを離れた経緯と、いま使うべき呼称
「owasp とは」の検索上位に並ぶ日本語記事の多くは、いまもZAPを「OWASPが提供するツール」として紹介しています。しかしこの説明は正しくありません。2023年8月1日、開発リーダーのSimon Bennetts氏が公式ブログで、Linux Foundationの新しいSoftware Security Projectへの参加を発表し、その中で regretfully ZAP will be leaving OWASP（残念ながらZAPはOWASPを離れる）と明言しました。1つの財団にしか属せないこと、OWASPでは常勤開発者を雇う資金が得られなかったことが理由です。
現在の位置づけは、ZAPのOwnershipページにまとまっています。ZAPはZAP Core Teamが管理する独立したオープンソースプロジェクトで、Checkmarxが支援しています。「ZAP by Checkmarx」と呼ばれるのは、Core Teamのうち3名がCheckmarxに雇用されているためで、OWASPから外れた時期は2023年9月と書かれています。同ページには「OWASP ZAP」という表記を見たら情報源が古いと判断してよい、という一文まであります。2026年11月時点の安定版は2.17.0（2025年12月15日）です。
稟議書や方針書に「OWASPが提供するZAP」と書くのは事実誤認なので、「ZAP（旧OWASP ZAP）」と出自を添えて書いてください。ZAPで何を検出できるかはOWASP ZAPの診断項目とは？検出できる脆弱性一覧、CI/CDへの組み込み方はDASTとは？SASTとの違い・ZAPでのCI/CD組み込みで解説しています。
OWASP資料の公式日本語訳の所在
Top 10の日本語版を探すと非公式の要約記事が上に来ることがありますが、公式の和訳があります。Top 10:2025の日本語訳は公式サイトのtop10.owasp.org/2025/ja/で公開されています。原稿はOWASP/Top10リポジトリの 2025/docs/ja にあり、翻訳作業はOWASP Japanのフォーク owasp-ja/Top10 で進められてきました。2025年版の10項目の公式訳は次のとおりです。
| ID | 公式日本語名 | 英語名 |
|---|---|---|
| A01:2025 | アクセス制御の不備 | Broken Access Control |
| A02:2025 | セキュリティ設定の不備 | Security Misconfiguration |
| A03:2025 | ソフトウェアサプライチェーンの不備 | Software Supply Chain Failures |
| A04:2025 | 暗号化の不備 | Cryptographic Failures |
| A05:2025 | インジェクション | Injection |
| A06:2025 | 安全性を欠いた設計 | Insecure Design |
| A07:2025 | 認証の不備 | Authentication Failures |
| A08:2025 | ソフトウェアまたはデータの完全性の不備 | Software or Data Integrity Failures |
| A09:2025 | セキュリティログとアラートの不備 | Security Logging and Alerting Failures |
| A10:2025 | 例外的な状況への不適切な対応 | Mishandling of Exceptional Conditions |
社内文書の訳語はこの表に揃えると表記ゆれが起きません。翻訳はボランティアによるもので、解釈が争点になる場面では英語原文が正です。ASVS 5.0.0には、2026年11月時点で公式の日本語版がありません。
OWASP資料の実務への組み込み方と、避けたい使い方
開発工程別のOWASP成果物の割り当て
成果物を工程に割り当てておくと、リリース直前の一括診断で大きな手戻りが出る事態を避けられます。目安は次のとおりです。
- 設計：Top 10を脅威モデリングの観点リストに使う。LLMやAPIを含むなら該当系統も足す。
- 要件定義：ASVSのレベルを決め、該当する要件番号を受け入れ条件に転記する。
- 実装：Cheat Sheetをコードレビューの逆引きに使う。
- ビルド：Dependency-Checkなどで依存ライブラリの既知脆弱性を検査する。
- テスト：ASVSの要件ごとにWSTGの試験項目を対応させ、ZAPなどの自動診断で拾える範囲と、手動試験に回す範囲を切り分ける。
全部を回せない小規模な開発なら、費用がほぼ人手だけで済む依存関係の検査と設計段階のTop 10レビューから始めます。
ASVS L3を課すべき場面と過剰投資になる場面
L3の適用を優先して検討すべきなのは、決済・医療・大量の個人情報を扱うシステムや、外部監査・取引先の要求で第三者検証が必須のシステムです。ASVS自身も、オンラインバンキングではL3未満を顧客に説明しにくいと書いています。WSTGはこの場合でも全項目を一律に試すものではなく、対象に存在する機能に合わせて試験範囲を決めます。
逆に、本番データや重要業務から隔離され、管理権限も持たない検証用プロトタイプにL3を課すのは過剰投資です。この段階ではL1と、Top 10のアクセス制御・インジェクションの重点確認にとどめ、L2以上は本番公開が決まってから段階的に入れるのが現実的です。社内向けのツールでも、管理権限を持つ・本番に接続する・止まると業務が止まる場合は低リスクとは言えません。レベルは、扱うデータの機密性に加えて、改ざんされたとき（完全性）と止まったとき（可用性）の影響、外部からの検証要求の有無で決めます。第三者の目で診断範囲とレベルを決めたい場合は、脆弱性診断・セキュリティ診断で要件段階から相談できます。
Top 10をチェックリストとして使う誤用
Top 10をそのまま診断のチェックリストにするのは誤用です。Top 10は「どのリスクが広く見つかっているか」を示す統計的な啓発文書で、個々のアプリで何を検証すべきかを網羅していません。2025年版のA03（ソフトウェアサプライチェーンの不備）は、データ上の検出件数が10カテゴリで最も少ない一方、CVEから算出した悪用容易性と影響度は最も高いと原文に書かれています。公式の序文は、件数が少ない理由を試験での検出の難しさにあると見ています。検出件数とリスクの大きさは別物で、順位や出現率をそのまま優先度に読み替えると判断を誤ります。
社内標準の参照は「v5.0.0-1.2.5」のように版を含むASVSの要件識別子で記録し、Top 10は教育とリスクの説明に使い分けます。ASVSも改訂で番号が変わるので、採用する版を上げるときは差分の確認が必要です。要件定義書に「A01対策済み」のような検証できない表現があれば、版付きのASVS要件に置き換えてください。
よくある質問
OWASPは何と読みますか？
「オワスプ」です。OWASP Japanチャプターが主催イベントを「オワスプナイト」、申込ページを「オワスプジャパン」と表記しています。OWASP Top 10は、英語の正式名称「OWASP Top Ten」に合わせて「オワスプ・トップテン」と読みます。
OWASPはどこの国にある組織ですか？
米国です。OWASP Foundationは米国の501(c)(3)非営利法人で、郵送先としてデラウェア州ウィルミントンの住所を案内しています。EINは20-0963503です。2001年12月1日に活動を始め、2004年4月21日に法人化されました。欧州にはブリュッセルのOWASP Operations Europe iVZWがあり、日本を含む250以上の地域チャプターが活動しています。
OWASPの原則は何ですか？
Core Valuesとして、Open（財務からコードまで徹底的に透明）、Innovation（革新と実験を奨励）、Global（世界の誰もが参加できる）、Integrity（敬意があり誠実でベンダー中立なコミュニティ）の4つを掲げています。ベンダー中立が明記されているので、ツール選定や方針策定でOWASP文書を根拠に使えます。
OWASP ZAPとは何ですか？
Webアプリの脆弱性を検査するオープンソースのスキャナです。ただし2023年にOWASPを離れており、現在はOWASPのプロジェクトではありません。ZAP Core Teamが管理する独立プロジェクトで、Core Teamのうち3名がCheckmarxに雇用されていることから「ZAP by Checkmarx」と呼ばれます。無償で使える点は変わっておらず、2026年11月時点の安定版は2.17.0です。
OWASP Top 10はどのくらいの頻度で更新されますか？
2010年以降は3〜4年おきです。これまでに2003・2004・2007・2010・2013・2017・2021・2025年の8回発行されており、現行は2025年版です。API・LLM・モバイルなど系統ごとのTop 10は更新周期が別で、LLM向けは2025年版のあとに2026年版が出ています。
