静的解析／動的解析とは？
静的解析／動的解析とは、ソースコードやバイナリを実行せずに解析して危険なコーディングを検出するのが静的解析（SAST）、実際に動作させて外部から入力を与え応答から脆弱性を検出するのが動的解析（DAST）。両者を組み合わせるIASTやソフトウェア構成分析（SCA）もある。
情報処理安全確保支援士試験の過去問では1回出題されています。
せいてきかいせき、どうてきかいせき
静的解析／動的解析の意味
ソースコードやバイナリを実行せずに解析して危険なコーディングを検出するのが静的解析（SAST）、実際に動作させて外部から入力を与え応答から脆弱性を検出するのが動的解析（DAST）。両者を組み合わせるIASTやソフトウェア構成分析（SCA）もある。
静的解析／動的解析の具体例
SonarQubeのような静的解析ツールをCIパイプラインに組み込み、コード品質と脆弱性の混入を自動で検出する。
静的解析／動的解析は試験でどう引っ掛けられる？
検出できる対象が逆になる。静的解析（SAST）はソースコードが必要だが実行環境は不要で、網羅性は高い反面、実際には到達しない経路も指摘する（偽陽性が多い）。動的解析（DAST）は動作環境が必要だがソース不要で、設定不備やサーバの構成起因の問題を見つけられる反面、テストで叩けなかった経路は見逃す。ファジングは動的解析側、依存ライブラリの脆弱性を見るSCAは別カテゴリ。
静的解析／動的解析と関連する用語
静的解析／動的解析が出た過去問
アジャイル開発のプロジェクトで、ソースコードの品質を向上させるために、バグ、コードの重複、脆弱性につながるコードを自動で検出することができるOSSのツールを導入…
正解：SonarQube
要点：SonarQubeはコード品質と脆弱性を自動検出する静的解析OSS
SonarQubeは、ソースコードを静的解析してバグの疑い、コードの重複、脆弱性につながる記述、コーディング規約違反などを自動検出するOSSの品質管理ツールです。CIに組み込んでコミットごとに解析し、品質ゲートを満たさない変更を止める使い方が一般的で、アジャイル開発で継続的にコード品質を保つ用途に適します。
出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問22（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。