OWASP Top 10 2021インフォグラフィック

20年間で最も重要なアップデート

2003年に初めて公開されたOWASP Top 10は、Webアプリケーションにとって最も重大なセキュリティリスクについての幅広い共通認識を示すものです。上位のリスクは20年間ほぼ変わりませんでしたが、2021年の更新では、3つのテーマ領域におけるアプリケーションリスクに対応するため、大幅な変更が加えられました。

2021年の新機能

OWASP Top 10の更新に影響を与えた主な要因は次のとおりです。

テーマ#1

根本原因に対応する症状

変更点

OWASP Top 10のリスクは、一般的な脆弱性タイプ一覧（CWE）に対応しており、これらの弱点はしばしば脆弱性として悪用されます。しかし、従来のOWASPのデータ収集は、あらかじめ定められた30のCWEに重点を置いていました。また、従来のリストでは、根本原因を表すCWEと、さまざまな原因から生じ得る、より表面的な弱点を表すCWEとが明確に区別されていませんでした。2021年版のリストには400のCWEが反映されており、より広範な分析が可能になりました。

なぜ重要なのか？

2021年版のリストでは、症状とその根本原因の対応関係がより明確になり、セキュリティチームがリスクを根本から低減することに注力できるよう支援します。

テーマ#3

モダンアプリとアーキテクチャの保護

変更点

クラウドへのデプロイ、コンテナ化、モバイルアプリの普及に加え、APIやサードパーティ統合の急増に伴い、アプリケーションアーキテクチャは進化してきました。ログインページ、ショッピングカート、その他のビジネスロジックは欠陥ではありませんが、本質的に悪用される可能性があります。OWASP Top 10 2021は、この新たな環境でプロアクティブかつ先回りしてセキュリティを確保するための指針を示しています。

図2：従来のベストプラクティスだけでは、今日の分散型モダンアプリケーションとアーキテクチャには十分に対応できません。

なぜ重要なのか？

セキュリティは、安全なCI/CDパイプライン、コンポーネントインベントリ、脅威モデリング、適切なリスク管理など、アプリケーション開発プロセス全体に組み込む必要があります。最新のOWASP Top 10は、セキュリティをシフトレフトし、基本的な設計原則にまで組み込もうとするセキュリティおよびAppDev/DevOpsの専門家に役立つリソースです。

^{1 F5 2022 Application Protection Report.}

^{2 Van der Stock, Andrew, OWASP Top 10（https://www.youtube.com/watch?v=uLBCDBnMEt0）、YouTube。2021年10月8日。}