OWASPとは？読み方・組織の実体と主要プロジェクトの全体像

OWASPは「オワスプ」と読み、正式名称をOpen Worldwide Application Security Projectといいます。Webアプリケーションのセキュリティ情報を無償公開している米国の非営利団体で、日本でもTop 10やASVSといった成果物が開発標準の下敷きになっています。ただし「OWASPの資料」と一括りにされがちなものの中身は、リスクの啓発文書・検証要件・実装リファレンス・成熟度モデル・診断ツールと役割がまったく異なり、なかにはすでにOWASPを離れたプロジェクトが含まれる点は見落とされがちです。この記事では組織としてのOWASPの実体と、主要プロジェクトの守備範囲、公式日本語訳の入手先を一次情報で整理します。

まとめ

• 読み方は「オワスプ」。OWASP Japanチャプターが主催イベントを「オワスプナイト」、募集ページを「オワスプジャパン」と表記している。
• 正式名称はOpen Worldwide Application Security Project。2023年に “Web” から “Worldwide” へ改称された。旧称のOpen Web Application Security Projectを使っている解説記事はこの改称に追随していない。
• 米国デラウェア州ウィルミントンに本部を置く非営利法人（2001年12月1日発足／2004年4月21日法人化／EIN #20-0963503）。欧州にはOWASP Europe VZW（ベルギー）がある。
• OWASPの成果物に法的強制力はない。Top 10は自らを “Awareness document”（啓発資料）と定義しており、監査基準として直接使うものではない。検証要件が必要ならASVSを見る。
• Top 10の最新は2025年版。2025年11月にリリース候補として公開され、2025年12月24日のコミットでRC表記が外れて正式版になった。項目別の解説はOWASP Top 10 2025年版の解説記事にまとめている。
• ZAPは2023年8月1日にOWASPを離脱済み。2023年にLinux FoundationのSoftware Security Projectへ移り、2024年9月以降はCheckmarxが中核開発者を雇用して「ZAP by Checkmarx」として開発が続いている。「OWASP ZAP」は正式な呼称ではなくなった。
• Top 10には公式日本語訳がある。OWASP Japanチャプターが管理するGitHubリポジトリ owasp-ja/Top10 に2025年版の全10項目の和訳が公開されている。

OWASPの読み方と正式名称、組織としての実体

「オワスプ」と読む根拠

日本語圏で表記ゆれが起きやすい部分ですが、OWASP Japanチャプターの公式ページが答えを出しています。同チャプターは主催イベントを「オワスプナイト」と表記し、参加申込先を Doorkeeper の「オワスプジャパン」ページと案内しています。運営主体自身が仮名を当てている以上、日本語では「オワスプ」が事実上の正式読みです。「オー・ダブリュー・エー・エス・ピー」と読み下しても通じますが、勉強会や商談の場では「オワスプ」で通ります。

Webからワールドワイドへ：2023年の改称

正式名称はOpen Worldwide Application Security Projectです。長らくOpen Web Application Security Projectでしたが、2023年に理事会の投票で “Web” が “Worldwide” に改められました。owasp.org の About ページも、OWASP Japanチャプターのトップページも、現在はWorldwide表記で統一されています。

単なる語感の変更ではありません。2023年の改称前後からOWASPは、モバイルアプリ、API、コンテナ、そして大規模言語モデルまで対象を広げており、Webという語では守備範囲を説明できなくなっていました。実際、Top 10にはAPI向けの派生版やLLMアプリケーション向けの派生版があり、いずれもWebアプリの脆弱性リストとは別のリスク体系を持っています。社内資料で旧称を使い続けている場合、その資料がいつ書かれたものかを疑う目安にもなります。

どこの国の組織か：デラウェアの非営利法人

OWASP Foundationは米国の非営利法人です。About ページの記載によれば、2001年12月1日に活動を開始し、2004年4月21日に米国の非営利慈善団体として法人化されました。法人番号にあたるEINは #20-0963503、登記上の住所はデラウェア州ウィルミントン（300 Delaware Ave Ste 210 #384, Wilmington, DE 19801）です。欧州向けにはベルギーに OWASP Europe VZW という別法人があり、VAT番号 BE 0836743279 を持ちます。

実態としての活動は250を超える地域チャプターが担っており、日本のOWASP Japanもそのひとつです。運営方針としてOpen（財務からコードまで透明）、Innovative、Global、Integrity（ベンダー中立）の4つをCore Valuesに掲げています。「OWASPの原則は？」と問われたときの答えはこの4語です。特定ベンダーの製品を推奨しない姿勢がここに明記されている点は、ツール選定の根拠資料としてOWASP文書を引くときに効いてきます。

OWASPの役割：法令でも規格でもない啓発資料という立ち位置

OWASPの成果物には法的な強制力がありません。Top 10は原文で自らを “a standard awareness document for developers and web application security”（開発者とWebアプリケーションセキュリティ担当者のための標準的な啓発資料）と定義しています。ISO/IEC規格やPCI DSSのような認証・監査の枠組みとは性質が異なり、準拠を第三者が証明する仕組みも存在しません。

この違いを踏まえずにTop 10を持ち出すと、現場で噛み合わなくなります。調達仕様書やRFPで見かけるのが「Top 10に準拠しています」という表現です。Top 10は10個のカテゴリであって、カテゴリの下には2025年版で248件のCWEがぶら下がっています。1カテゴリあたり平均25件、最多のA01（アクセス制御の不備）だけで40件です。「準拠」を名乗るには、どのCWEをどう検証したかを示す必要があり、その粒度を持っているのはTop 10ではなくASVSです。

逆に、OWASPが強い場面もはっきりしています。ベンダー中立で無償公開されているため、社内の開発ガイドラインやセキュリティ教育の共通言語として使うぶんには、コストも許諾交渉もなしに導入できます。PCI DSS v3.2.1の要件6.5がTop 10を名指ししていたように、外部の基準がOWASP文書を引く形で間接的に効力を持つケースもあります。

OWASPの主要プロジェクト早見：Top 10・ASVS・Cheat Sheet・SAMM

OWASPには数百のプロジェクトがありますが、日本の開発現場で実際に名前が挙がるのは限られます。守備範囲が重ならないよう役割で整理すると次のようになります。

Top 10：2025年版が第8版、2021年版は現行ではない

Top 10は数年おきに改訂される啓発文書で、2025年版が第8版にあたります。データ提供元は12社と複数の匿名提供者、対象は280万件を超えるアプリケーションで、過去最大の母集団です。10カテゴリのうち8つは提供データの順位で決まり、残る2つはコミュニティ調査の投票で選ばれます。テストで自動検出できるものだけを並べると、まだ検出手法が確立していないリスクが抜け落ちるためです。

2021年版からの変更は3系統あります。新設が2つ（A03ソフトウェアサプライチェーンの不備、A10例外的な状況への不適切な対応）。うちA03は2013年版のA9「既知の脆弱性を持つコンポーネントの使用」を出自とし、既知の脆弱性に限らないサプライチェーン全体へ範囲を広げたもの、統合が1つ（SSRFがA01に吸収）、そして改称が2つ（A07が認証の不備へ、A09がセキュリティログとアラートの不備へ）。順位も入れ替わり、A02にはセキュリティ設定の不備が2021年版の5位から浮上しました。

注意したいのは公開時期です。2025年11月に公開されたものはリリース候補（RC）版で、GitHubリポジトリからRC表記が削除されたのは2025年12月24日のコミットでした。「まだRC段階」と書いている解説記事は、この時点以前の情報で止まっています。項目ごとの内容と対策は2025年版の項目別解説で扱っています。

ASVS：Top 10の次に見るべき検証要件

ASVS（Application Security Verification Standard）は、Top 10が「何が危ないか」を示すのに対して「何をどこまで検証すれば良しとするか」を要件の形で定義した文書です。要件定義書やRFPにセキュリティ要件を書き込むとき、Top 10のカテゴリ名では粒度が粗すぎて検収条件にならないため、実務ではASVSを引くことになります。

最新版は5.0.0で、2025年5月30日に公開されました。その前のリリースは4.0.3（2021年10月28日）で3年7か月ぶり、メジャー版としては4.0系（2019年3月）以来6年2か月ぶりの更新です。手元の社内標準がASVS 4系を参照している場合、要件番号の対応関係が変わっている可能性があるため、5.0.0との突き合わせが必要になります。

Cheat Sheet Series・SAMM・Amassの守備範囲と現行版

Cheat Sheet Seriesは、パスワード保存やCSRF対策といったテーマごとに実装時の具体策をまとめた短い文書群で、2026年7月時点で91シートが公開されています。「Top 10で危険性を知り、ASVSで要件を決め、Cheat Sheetで書き方を確認する」という流れで使うと役割が重なりません。

SAMMは個々のアプリではなく組織の開発プロセスの成熟度を測るモデルで、監査や改善計画の枠組みとして使います。中核リポジトリの最新版はv2.2.0（2026年7月6日）ですが、owasp.orgのプロジェクトページはv2.0.3のまま更新が止まっています。版を確認するときは公式サイトの表示ではなくGitHubのリリースを見てください。

Amassは外部公開されているドメインやホストを洗い出す攻撃面調査ツールで、診断の対象範囲を決める前段で使われます。最新版はv5.1.1（2026年4月7日）。メジャー版のv5.0.0が2025年8月3日で、その前のv4.2.0が2023年9月なので、約2年の空白を経て開発が再加速しています。

OWASP ZAPがOWASPを離れた経緯と、いま使うべき呼称

「owasp とは」の検索結果上位に並ぶ日本語記事は、いずれもこの移管に触れないまま「OWASP ZAP」と表記しています。しかしこの呼称はすでに正しくありません。2023年8月1日、ZAPの開発リーダーであるSimon Bennetts氏が公式ブログで「ZAP is Joining the Software Security Project」を公開し、その中で “regretfully ZAP will be leaving OWASP”（残念ながらZAPはOWASPを離れる）と明言しています。移管先はLinux Foundationの新イニシアチブであるSoftware Security Project（SSP）で、ZAPはその創設プロジェクトのひとつになりました。

離脱の理由も同じ記事に書かれています。ZAPは世界で最も使われているWebスキャナに成長し、多額の投資を受けた商用製品と正面から競合する規模になったが、OWASPは大規模プロジェクトを支え投資する体制を作れなかった、という趣旨です。プロジェクトは1つの財団にしか属せないため、常勤開発者を雇用できるSSPを選んだことになります。さらに2024年9月にはCheckmarxが中核開発者3名を雇用し、プロダクト名は「ZAP by Checkmarx」となりました。オープンソースであること、無償で使えることは変わっていません。

実務上は名前の問題にとどまりません。ツール選定の稟議やセキュリティ方針書に「OWASPが提供するZAP」と書けば、それは事実誤認です。ベンダー中立を掲げるOWASPの権威を借りる書き方も、現在のZAPがCheckmarxというDASTベンダーの支援下にある以上、成立しません。ツール自体の評価は変わらないので、単純に「ZAP（旧OWASP ZAP、現在はSoftware Security Project／Checkmarx）」と出自を明記するのが安全です。ZAPで実際に何を検出できるかはZAPの診断項目と検出できる脆弱性の一覧で整理しています。

OWASP資料の公式日本語訳の所在

Top 10の日本語版を探して非公式の要約記事が上位に来ることがありますが、公式の和訳は存在します。OWASP Japanチャプターが翻訳作業用のGitHubリポジトリを運用しており、Top 10については owasp-ja/Top10 に2025年版の日本語訳が公開されています。リポジトリ内の 2025/docs/ja/index.md が入口で、各項目の解説ページへのリンクが並びます。

公式訳を押さえておくと、社内文書での用語が揺れません。2025年版の10項目の公式な日本語名称は次のとおりです。

翻訳はボランティアによる作業で、英語版の更新に追随して順次追加される方式です。リポジトリには翻訳改善のIssueやプルリクエストを送れるため、社内で訳語に違和感があれば提案する側に回れます。なお、最終的な解釈が問われる場面では英語原文が正です。

OWASP資料の実務への組み込み方と、避けたい使い方

OWASPを導入する順序は、組織の状態によって変わります。セキュリティの共通言語がまだ無い段階なら、Top 10を教育教材として配るところから始めるのが妥当です。カテゴリが10個しかないため、非エンジニアを含む会議でもリスクの話が通じるようになります。

一方で、Top 10をチェックリストとして診断に使うのは誤用です。Top 10は「どのリスクが広く見つかっているか」を示す統計的な啓発文書であって、個々のアプリで何を検証すべきかを網羅していません。2025年版のA03（ソフトウェアサプライチェーンの不備）は、データ上の検出件数が10カテゴリで最少でありながら、CVEから算出した平均的な悪用容易性と影響度は最も高いという説明が原文に付いています。検出しにくいから件数が少ないだけで、リスクが小さいわけではない、という趣旨です。順位や出現率をそのまま優先度に読み替えると判断を誤ります。

検収条件や診断項目を定義する段階に来たら、ASVSへ移ります。ここでTop 10に固執し続けると、「A01対策済み」といった検証不能な表現が要件定義書に残ります。また、Top 10の改訂に社内標準を毎回追随させる運用も現実的ではありません。カテゴリの並び替えに合わせて文書を書き換える労力より、ASVSの要件番号で参照を固定しておき、Top 10は教育とリスク説明の面だけで使うほうが維持しやすくなります。

生成AIを組み込んだアプリケーションを扱う場合は、WebアプリのTop 10だけでは足りません。プロンプトインジェクションやモデル出力の過剰な信頼といったリスクは別の体系にまとまっており、LLMアプリケーション向けのTop 10を併用する必要があります。

よくある質問

OWASPは何と読みますか？

「オワスプ」です。OWASP Japanチャプターが主催イベントを「オワスプナイト」、申込ページを「オワスプジャパン」と表記しており、運営側が使っている読み方がこれにあたります。

OWASPはどこの国にある組織ですか？

米国です。OWASP Foundationはデラウェア州ウィルミントンに登記上の住所を置く非営利法人で、EINは #20-0963503。2001年12月1日に活動を開始し、2004年4月21日に法人化されました。欧州にはベルギー法人の OWASP Europe VZW があり、日本を含む250以上の地域チャプターが活動しています。

OWASPの原則は何ですか？

Core Valuesとして Open（財務からコードまで徹底的に透明）、Innovative（革新と実験の奨励）、Global（世界の誰もが参加可能）、Integrity（敬意ある・誠実な・ベンダー中立のコミュニティ）の4つを掲げています。特にベンダー中立が明記されている点が、ツール選定や方針策定でOWASP文書を根拠に使える理由になっています。

OWASP ZAPとは何ですか？

Webアプリケーションの脆弱性を検査するオープンソースのスキャナですが、2023年8月1日にOWASPを離れており、現在は正式にはOWASPのプロジェクトではありません。移管先はLinux FoundationのSoftware Security Projectで、2024年9月以降はCheckmarxがプロジェクトリーダー3名を雇用する形で支援し「ZAP by Checkmarx」として開発が続いています。無償で使える点は変わっていません。

2021年版を参照している社内資料はどう扱えばよいですか？

参照先を差し替えてください。2021年版はすでに現行版ではなく、カテゴリの構成も変わっています。社内標準やチェックリストが「A0x:2021」の番号で書かれている場合、番号と内容の対応が崩れているため、そのままでは検証の根拠になりません。版ごとの項目の違いはOWASP Top 10 2025年版とは？正式版の10項目と2021年版からの変更点で確認できます。

関連記事

• OWASP Top 10 2025年版とは？正式版の10項目と2021年版からの変更点
• OWASP Top 10 for LLMとは？2025年版の全10項目と変更点・実務での対策
• OWASP API Security Top 10 の概要とその重要性
• OWASP ZAPの診断項目とは？検出できる脆弱性一覧と使い方