静的解析（ソースコード検査）とは？せいてきかいせき
静的解析（ソースコード検査）とは、プログラムを実行せずにソースコードを機械的に調べ、脆弱性につながる書き方や規約違反を検出する手法。実際に通らない分岐まで含めて広く見られる点が強みで、動かして確かめる動的解析（脆弱性診断・ファジング）と組み合わせることで検出漏れを減らせる。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
出来上がってからテストで欠陥が見つかると、設計まで手戻りして費用も期間も跳ね上がる。機械にかけられる検査は上流で先に済ませ、人のレビューは設計判断や業務要件との突合せという機械に見えない部分へ回す、という分担が生まれた。sgの読者は自ら解析する側ではなく、開発を委託する立場でこの検査を要求し、報告書を読み取る側に立つ。
具体例
SonarQubeやGitHubのCodeQLといった検査ツールが実務で使われている。委託契約に「納品前にこれらを実行し、重大と判定された指摘を解消した結果報告書を提出すること」を書き込み、受入時に自社側で報告書を確認して、残っている指摘には理由と代替策の説明を求める、という運用になる。
試験での引っ掛け
検出できるのは書き方の問題までで、業務要件の取り違えや権限設計の誤りといった設計上の欠陥は見つけられない。誤検出も出るため、指摘件数をそのまま品質の指標にしたり、指摘ゼロを納品条件にしたりするのは適切でない。動的な検査や受入テストの代わりにもならない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。