OWASP ASVSとは？Webアプリのセキュリティ検証要件標準

概要

OWASP Application Security Verification Standard（ASVS）は、WebアプリケーションとWebサービスが満たすべきセキュリティ要件を体系化した公開標準です。開発時のチェックリスト、セキュリティテストの観点、調達や受入時の基準として利用できます。最新stableはREADME上で5.0.0とされ、masterは次の更新に向けた変更を含むため固定版とは分けて扱う必要があります。

特徴と向いている用途

公式資料に基づく紹介・実機未検証 · 内容確認日：2026-09-20

セキュリティ要件を共通の検証基準として使う

認証、入力処理、アクセス制御などの要件を識別子付きで参照でき、開発チーム・セキュリティ担当・評価者が同じ基準で確認項目を共有できます。

出典：[2]

設計レビューから受入テストまで要件を追跡する

要件を仕様書、テストケース、監査結果へ結び付けることで、どのセキュリティ要件をどの方法で確認したかを追跡できます。

出典：[2]

Webアプリのセキュリティ要求を明文化したい場合に

自社開発だけでなく、外部委託や製品評価で最低限のセキュリティ条件を共通化したい場合に向きます。PDF、Word、CSVなど複数形式のstable版が公開されています。

出典：[2][3]

masterではなく利用するバージョンを固定する

masterは継続的に変更されるbleeding-edge版です。READMEではstable 5.0.0が案内されており、要件IDもバージョンによって変わる可能性があります。監査記録やテスト仕様ではv<version>-<requirement>形式で参照するのが安全です。

出典：[2][3]

参考にした公式資料

[1]OWASP/ASVS repository(2026-09-20)
[2]OWASP ASVS README(2026-09-20)
[3]OWASP ASVS v5.0.0(2026-09-20)
[4]OWASP ASVS project page(2026-09-20)

編集部からの補足

ASVSは脆弱性スキャナーではなく、何を満たすべきかを定義する検証基準です。監査や受入条件に使う場合は、変化するmasterではなくstable版を固定し、`v5.0.0-1.2.5`のようにバージョンを含む要件IDで記録すると追跡しやすくなります。

3ステップで試す

1
stable版5.0.0を取得
masterではなくstable版を固定し、PDF・Word・CSVのうち運用しやすい形式を選びます。
https://github.com/OWASP/ASVS/tree/v5.0.0
2
対象要件をチェックリスト化
対象システムに必要な要件を選び、v5.0.0-1.2.5のようにバージョンを含むIDで仕様やテストへ紐付けます。
Use v5.0.0 requirement IDs
3
設計・実装・テスト結果を記録
各要件について確認方法、証跡、結果を残し、未確認と不適合を区別して追跡します。
Requirement → evidence → result

公式READMEで確認

成長

成長の推移 · 直近30日

3,609 Stars

推移データを蓄積中です。

開発アクティビティ

直近90日・週次

Commit（直近30日）: 3
Open PR: 11
Issue登録: 5
Issue解決: 3
PR登録: 39
PRマージ: 29

Issues

5 / 3

6月23日9月20日

Issue登録Issue解決

Pull Requests

39 / 29

6月23日9月20日

PR登録PRマージ

メンテナンス状況

Issue初回応答中央値: 17時間
Issue応答率: 80% (4/5)

直近90日に外部から作成されたIssue（新しい順に最大100件）が対象です。OWNER・MEMBER・COLLABORATORによる最初のコメントを応答とし、全コメントを確認できないIssueは集計から除外します。中央値と応答率は週次更新です。

Built with

HTML

カテゴリとタグ

GitHubデータ

GitHubのデータGitHubの詳細データを見る

GitHubで見る

Stars: 3,609
Forks: 831
Watchers: 150
Open Issues: 100
Contributors: 113
主要言語: HTML
ライセンス: CC-BY-SA-4.0
リポジトリ最終更新: 2026/09/03