静的解析（SAST）・動的解析（DAST）

静的解析（SAST）・動的解析（DAST）とは、ソフトウェアやシステムのセキュリティ上の欠陥（脆弱性）を発見するための2つの代表的な検査手法です。SASTはプログラムのソースコードをそのまま解析し、実際に動かすことなく問題箇所を見つける方法です。コードを書いた段階で欠陥を早期発見できるため、「開発中の設計図を専門家が読み込んでチェックする」イメージに近く、修正コストを大幅に抑えられます。一方DASTは、完成したシステムを実際に稼働させた状態で外部から攻撃者目線の検査を行い、本番環境に近い状態で潜む脆弱性を洗い出します。「完成した建物にセキュリティ担当者が侵入テストを行う」感覚です。

事業現場では、たとえば社内向けの業務システムや顧客向けのWebアプリを開発・改修する際に、この2つを組み合わせて使うことが一般的です。最近はAIを活用した脆弱性診断ツールがSASTとDASTを自動実行し、担当者の工数を大幅に削減しながら精度の高い検査を実現しています。経営者にとっての主なメリットは、情報漏えいや不正アクセスのリスクを事前に低減し、ブランド毀損や法的リスクを回避できる点です。ただし、SASTはコード入手が前提のため外部委託システムには適用しにくく、DASTは検査中にシステムへ負荷がかかる場合があるため、実施タイミングや範囲の事前調整が必要です。