静的テストとは？せいてきてすと
静的テストとは、プログラムを実行せずに、ソースコードや設計文書を読んで欠陥を見つける検証。人が行うレビュー・ウォークスルー・インスペクションと、ツールによる検査が含まれ、セキュリティ用途の静的解析はSAST（Static Application Security Testing：ソースコード静的検査）と呼ばれる。実行環境もテストデータも不要な点が特徴である。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
動かして初めて分かる、では上流で作り込んだ欠陥ほど手戻りが大きくなる。仕様の矛盾や、SQL文を文字列連結で組み立てているといった問題は、動かさずテキストとして読めば判別できる。脆弱性はコードの書き方そのものに宿るため、支援士の文脈では静的検査の価値がとりわけ高い。動的な検査は「入力を与えて到達した経路」しか見ないのに対し、静的検査は到達しにくい例外処理や管理者機能まで一律に走査できる。
具体例
SonarQubeなどの静的解析ツールを継続的インテグレーションに組み込み、文字列連結によるSQL組み立て、出力時のエスケープ漏れ、未初期化変数を取り込み時点で検出する。指摘を放置しない運用にするため、高危険度の検出があればビルドを失敗させる設定にする。
試験での引っ掛け
静的／動的の軸と、ホワイトボックス／ブラックボックスの軸を混同しやすい。後者は動的テストの分類である。ツールを使うかどうかは関係なく、プログラムを実行しなければ静的で、SASTは静的、DASTやファジングは対象を動作させるので動的にあたる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。