静的解析（ソースコード検査）とは？
静的解析（ソースコード検査）とは、プログラムを動かさずにソースコードを機械的に調べ、危険な書き方や規約違反を検出する手法。広い範囲を短時間で確認でき、人によるレビューを補う。動かして確認する動的な検査と組み合わせることで検出の漏れを減らせる点が要点になる。
情報セキュリティマネジメント試験の過去問では3回出題されています（2018年度〜2022年度）。
せいてきかいせき
静的解析（ソースコード検査）の意味
プログラムを動かさずにソースコードを機械的に調べ、危険な書き方や規約違反を検出する手法。広い範囲を短時間で確認でき、人によるレビューを補う。動かして確認する動的な検査と組み合わせることで検出の漏れを減らせる点が要点になる。
静的解析（ソースコード検査）の具体例
開発委託先に対し、納品前に検査ツールを実行し、重大と判定された指摘をすべて解消したうえで結果報告書を提出するよう契約で定めた。自社側でも受入時に報告書を確認し、未解消の指摘は理由と対応方針の説明を求めた。
静的解析（ソースコード検査）は試験でどう引っ掛けられる？
検出できるのは書き方の問題までで、業務要件の取り違えや設計上の欠陥は見つけられない。また誤検出も出るため、指摘件数をそのまま品質の指標として扱うのは適切でない。
静的解析（ソースコード検査）と関連する用語
静的解析（ソースコード検査）が出た過去問
マルウェアの動的解析に該当するものはどれか。
正解：サンドボックス上で検体を実行し，その動作や外部との通信を観測する。
要点：動的解析は検体を実際に動かして挙動を観測する
動的解析は、検体を実際に実行させてその挙動を観測する手法で、隔離されたサンドボックス環境でファイル操作やレジストリ変更、外部との通信を記録する。コードを読んで機能を調べる静的解析や、ハッシュ値による既知検体の照合とは区別される。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問23（IPA）マルウェアの動的解析に該当するものはどれか。
正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
要点：動的解析は隔離環境で実行し挙動を観測する手法
動的解析は、マルウェアを実際に隔離環境で実行し、ファイル操作やレジストリ変更、外部通信などの挙動を観測して機能を把握する手法である。実行せずにコードやハッシュ値を調べる静的解析と対になる考え方で、難読化された検体でも実際の振る舞いをつかめる利点がある。
出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）マルウェアの動的解析に該当するものはどれか。
正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
要点：動的解析は実行して挙動を観測、静的解析は実行しない
動的解析とは、検体を実際に実行させてその振る舞いを観測する手法であり、隔離されたサンドボックス上で行うのが一般的である。ファイル操作やレジストリ変更、外部との通信先などが直接分かるため、難読化された検体でも実挙動を把握できる。これに対し、実行せずにコードや特徴を調べるのが静的解析である。
出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問29（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。