本稿は「Qt Group Authorized as a CVE Numbering Authority (CNA) by the CVE Program」の抄訳です。
Qt Group はこの度、Common Vulnerabilities and Exposures (CVE®) プログラム より、すべての Qt 製品を対象とする CVE 番号採番機関（CNA：CVE Numbering Authority）として正式に認定されました。
この認定は、Qt のサイバーセキュリティ戦略における重要なマイルストーンであり、脆弱性管理プロセスの強化およびその実践に対する当社の取り組みを示すものです。
CNAとCVEプログラムとは？
CVE（Common Vulnerabilities and Exposures）プログラムは、国際的なコミュニティベースの取り組みであり、公開されたサイバーセキュリティの脆弱性を識別・定義・カタログ化することを目的としています。この取り組みにより、脆弱性に対して一意の識別子を用いた参照が可能となり、対応にかかる時間とコストの大幅な削減が実現します。
CNA（CVE 番号採番機関）は、Qt Group のように世界各国で認定された組織で、発見されたサイバーセキュリティの問題に対して固有の ID を割り当て、それに関する情報を「CVE レコード」として作成・公開する責任を担っています。これにより、脆弱性に関する情報の伝達に一貫性が保たれ、関係者間での円滑な対応が可能になります。
CVEプログラムの重要性
CVE レコードは、情報技術やサイバーセキュリティの専門家が同じ脆弱性について共通認識のもとに議論し、優先順位をつけて対策を講じるために活用されています。
このレコードにより、関係者は脆弱性に関する情報を迅速に発見・関連付けることが可能となり、攻撃からシステムを守るための効果的な対応が実現します。
Qt GroupにとってCNA認定が持つ意味とは？
Qt が CNA（CVE 番号採番機関）として CVE プログラムと提携することは、サイバーセキュリティ戦略における大きなマイルストーンです。この取り組みは、以前取得した ISO 27001:2022 認証や、Early Warning List（早期警告リスト）、SBOM（ソフトウェア部品表）の導入、そして LTS（長期サポート）リリース期間の延長などと並び、セキュリティ対策の強化に貢献しています。さらに、EU サイバーレジリエンス法（CRA）をはじめとする、各種サイバーセキュリティ関連法規への準拠にもつながります。
Qt Group の R&D ディレクター Kai Köhne は次のように述べています。「これまでに実施してきた様々な取り組みに加え、CNA になることは Qt Group にとって自然なステップです。当社は、製品に関するセキュリティ問題に対し、効率的かつ透明性のある対応を行うことに尽力しています。CNA として認定されることで、お客様やコミュニティの皆様が信頼できる、高品質で信頼性のある CVE レコードの公開がより円滑に行えるようになります。」
Qt Group は今後も製品のサイバーセキュリティ強化に積極的に取り組んでまいります。他の CNA やセキュリティ専門家との連携も、ますます深めていく所存です。
Qt 製品に関するセキュリティ上の問題をご報告に関するガイドラインは、以下のページをご確認ください：https://doc.qt.io/qt-6/security.html
