Re:me 全国自治体Webセキュリティ
保全プロジェクト
無料リスク確認
メニュー閉じる（現在：詳しい情報）

詳しい情報IPA・OWASP・総務省の資料案内

IPA・OWASP・総務省の資料、
どれをどう読めばいい？

まず一言でいうと

公開Webサイトの安全を考えるときによく参照されるのが、IPA、OWASP、総務省の資料です。それぞれ書かれた目的と想定読者が違うので、全部を通読するより、自分の疑問に合う箇所から読むのが近道です。引用するときは、必ず版と日付を確かめます。

このページでわかること

  • 3つの発行元がどんな組織で、何のために資料を出しているか
  • 資料ごとの「概要・誰向け・先に読む箇所・次の行動・版」
  • 疑問別の早見表と、旧版・新版を混同しないための注意
  • 読む時間の目安：約8分
  • 各資料の確認日：2026年10月23日

01

3つの発行元は、どんな組織？

  • IPA

    正式名称
    独立行政法人 情報処理推進機構
    このサイトでの使い方
    Webサイトの弱点と対策の解説（安全なウェブサイトの作り方）、その年に注意すべき脅威（10大脅威）、脆弱性の届出の制度。

  • OWASP

    正式名称
    OWASP Foundation（Open Worldwide Application Security Project）
    このサイトでの使い方
    ソフトウェアの安全性に取り組む非営利の財団。Webアプリケーションのリスク分類（Top 10）、検証の要件（ASVS）、技術者向けの解説（Cheat Sheet）。英語が中心。

  • 総務省

    資料
    地方公共団体における情報セキュリティポリシーに関するガイドライン
    このサイトでの使い方
    自治体が情報セキュリティポリシー（規程）を作るためのひな形と解説。業務委託、事故時の対応、ネットワークの分け方など、組織としての決まりごと。

大まかには、IPAとOWASPは「技術的に何が危なく、どう防ぐか」、総務省のガイドラインは「自治体として何を決め、誰が何をするか」に強い資料です。

02

資料ごとの読み方

本サイトの各ページが参照している資料を中心に紹介します。「先に読む箇所」は、自治体のWeb担当者がまず目を通すとよい部分の目安です。

安全なウェブサイトの作り方

IPA
概要
IPAが届出を受けた脆弱性の情報をもとに、Webサイトの代表的な弱点と対策をまとめた資料。第1章でSQLインジェクションやクロスサイト・スクリプティングなど11種類の脆弱性、第2章でウェブサーバ・DNS・パスワード・WAFなど運用面の取り組み、巻末にチェックリスト。
誰向け
Webアプリケーションの開発者やサーバー管理者など、Webサイトの運営に関わる人。
先に読む箇所
「はじめに」の「根本的解決と保険的対策」（対策の性質の違い）と、第2章「ウェブサイトの安全性向上のための取り組み」の2.1 ウェブサーバに関する対策。第1章は制作会社・保守会社と話すときの参考に。
次の行動
第2章の項目を、保守会社に「どう対応していますか」と聞く材料にする。
版・確認日
改訂第7版（資料ページの最終更新日 2021年3月31日）。https://www.ipa.go.jp/security/vuln/websecurity/about.html（2026年10月23日確認）
注意
発行から年数が経っています。新しい攻撃の傾向は、下のOWASPや10大脅威と併せて読みます。

情報セキュリティ10大脅威 2026

IPA
概要
前年に社会的影響が大きかった事故や攻撃から、選考会の審議・投票で決めた「組織」「個人」向けの脅威。2026年の組織向けは、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」、4位「システムの脆弱性を悪用した攻撃」など。
誰向け
組織の経営者・管理者から一般の利用者まで。組織編の解説書やスライドがある。
先に読む箇所
組織向けの一覧と、気になる脅威の解説書のページ。
次の行動
庁内で優先順位を話し合うときの共通の材料にする。Webサイトに直接関係する脅威と、組織全体の脅威を分けて考える。
版・確認日
2026年1月29日公開（ページの最終更新日 2026年5月21日）。https://www.ipa.go.jp/security/10threats/10threats2026.html（2026年10月23日確認）
注意
順位は「その年に注目すべきもの」を示すもので、自分の自治体で起きやすい順ではありません。毎年改訂されます。

OWASP Top 10:2025

OWASP
概要
Webアプリケーションの重大なリスクを10の分類にまとめたもの。A01 アクセス制御の不備、A02 セキュリティ設定の不備、A03 ソフトウェアサプライチェーンの不備、A04 暗号化の不備、A05 インジェクション、A06 安全性を欠いた設計、A07 認証の不備、A08 ソフトウェアまたはデータの完全性の不備、A09 セキュリティログとアラートの不備、A10 例外的な状況への不適切な対応。
誰向け
開発者、セキュリティ担当者、発注者。日本語訳あり。
先に読む箇所
一覧と、気になる分類の「How to prevent（防ぎ方）」。
次の行動
制作会社・保守会社と話すときの共通語として使う。「A02の設定の不備はどう確認していますか」のように聞ける。
版・確認日
2025年版。https://owasp.org/Top10/2025/（日本語：https://owasp.org/Top10/2025/ja/）（2026年10月23日確認。正式な公開日は公式ページで確認できていません）
注意
リスクの分類であって、これだけを確認すれば安全という点検表ではありません。

OWASP ASVS（Application Security Verification Standard）

OWASP
概要
Webアプリケーションを設計・開発・検証するときのセキュリティ要件の枠組み。
誰向け
開発者、検証を行う専門家、要件を書く発注者。
先に読む箇所
Web担当者が全体を読む必要はありません。新しいシステムを調達するときに、仕様書でどう参照するかを情報システム担当と相談します。
次の行動
総務省ガイドライン第3編の解説でも、ウェブアプリケーションの開発に関してASVSが参考として挙げられています（PDF p.241）。
版・確認日
公式ページで配布されている最新版は 5.0.0。https://owasp.org/www-project-application-security-verification-standard/（2026年10月23日確認）
注意
総務省ガイドラインが参考に挙げるIPAの邦訳資料は「4.0」を対象にしています。版の違いに注意してください。

OWASP Cheat Sheet Series

OWASP
概要
多要素認証、CSP、HSTS、HTTPヘッダーなど、テーマごとの技術者向けの短い解説集。
誰向け
技術者。英語。
先に読む箇所
保守会社から設定の提案を受けたときに、そのテーマのページの注意書き（副作用や誤設定の例）。
次の行動
本サイトの技術ノートで、要点と参照先を日本語でまとめています。
版・確認日
版番号の表示はなく、随時更新されます。https://cheatsheetseries.owasp.org/（各ページを2026年10月22〜23日に確認）

地方公共団体における情報セキュリティポリシーに関するガイドライン

総務省
概要
自治体が情報セキュリティポリシーを作り、見直すためのガイドライン。第2編が規程の「例文」、第3編がその解説。422ページ。
誰向け
自治体の情報セキュリティの担当者・管理者。
先に読む箇所
Web担当者がまず読むなら、第2編の「情報セキュリティインシデントの報告」（PDF p.68）、「侵害時の対応等」（PDF p.88）、「業務委託」（PDF p.90–91）、「不正プログラム対策」（PDF p.82–83）。
次の行動
自分の自治体の実際の規程のどこに同じ内容があるかを、情報システム担当に確認する。
版・確認日
令和8年3月版（2026年3月27日改定）。本文PDF https://www.soumu.go.jp/main_content/001064404.pdf、掲載ページ https://www.soumu.go.jp/denshijiti/index_00004.html（2026年10月23日確認）
注意
例文はひな形で、各自治体の規程そのものではありません。規程と食い違う場合は、自分の自治体の規程が優先です。

情報セキュリティ早期警戒パートナーシップガイドライン

IPA ほか
概要
ソフトウェアやWebサイトの脆弱性が見つかったときの、届出と対応の流れを定めた資料。付録に、脆弱性を見つける行為の法的な論点の解説がある。
誰向け
脆弱性を見つけた人、届出を受けるWebサイトの運営者。
先に読む箇所
付録3「法的な論点について」。許可のない検査をしてはいけない理由の背景がわかります。
版・確認日
2026年版（掲載ページの最終更新日 2026年10月1日）。https://www.ipa.go.jp/security/guide/vuln/partnership_guide.html（2026年10月22日確認）

NIST SP 800-61 Rev. 3／SP 800-63B

米国 NIST
概要
SP 800-61 Rev. 3 はインシデント対応を組織のリスク管理に組み込むための推奨事項（2025年4月公開）。SP 800-63B は本人確認・認証の指針で、多要素認証の方式ごとの強さの根拠として参照しています。
誰向け
米国連邦政府のシステム向けを中心とした、技術者・管理者。英語。
注意
日本の自治体に直接適用される基準ではありません。考え方の参考として扱います。
版・確認日
https://csrc.nist.gov/pubs/sp/800/61/r3/final（2026年10月23日確認）／https://pages.nist.gov/800-63-4/sp800-63b.html（2026年10月22日確認）

03

疑問別の早見表

表：疑問ごとに、まず開く資料と箇所
疑問まず開く資料箇所
Webサーバーの運用で何に気をつける？IPA 安全なウェブサイトの作り方2.1 ウェブサーバに関する対策（PDF p.50）
対策の「効き方」の違いは？IPA 安全なウェブサイトの作り方はじめに「根本的解決と保険的対策」（PDF p.6）
保守会社と何の話をすればいい？OWASP Top 10:2025各分類の How to prevent
委託先との契約に何を書く？総務省ガイドライン第2編「業務委託」（PDF p.90–91）
事故が起きたら誰に報告？総務省ガイドライン（と自分の自治体の規程）第2編「情報セキュリティインシデントの報告」（PDF p.68）、「侵害時の対応等」（PDF p.88）
今年、特に注意すべき脅威は？IPA 10大脅威 2026組織向けの一覧
自分で検査してはいけないのはなぜ？IPA 早期警戒パートナーシップガイドライン付録3 法的な論点
HSTSやCSPの注意点は？OWASP Cheat Sheet、本サイトの技術ノートHTTP Strict Transport Security／Content Security Policy

04

旧版と新版を混同しないために

  • 資料名に年や版が入っているものは、それごと書く。「OWASP Top 10」ではなく「OWASP Top 10:2025」、「10大脅威」ではなく「10大脅威 2026」。版が変わると、分類や名称、順位が変わることがあります。
  • 総務省ガイドラインは改定されます。このサイトは令和8年3月版を参照しています。自分の自治体の規程が、どの版をもとに作られているかも確認します。
  • PDFのページ番号と冊子のページ番号は違うことがあります。このサイトでは、PDFビューア上の通し番号を「PDF p.○」と書いています。
  • 引用するときは確認日も残す。Webページは予告なく更新されることがあります。

05

資料を読んだあとにすること

  1. 資料の内容を、自分の自治体の規程と契約に当てはめる（何が決まっていて、何が決まっていないか）。
  2. わからない点を、情報システム担当や保守会社に質問の形で伝える。
  3. 自分たちの状況を、無料リスク確認（12問）で整理する。