ガバナンス設計 · Claude Code
Claude Code を組織で安全に使うための、権限とガバナンスの設計
Claude Code は開発者の端末で、その人の権限でシェルを実行しファイルを編集します。チームで使い始める前に、何を自動で許し、何を確認させ、何を禁じるかを決め、管理設定・サンドボックス・MCP・CI の設定に落とします。AI が書いたコードの診断とは別の、ツールそのものの使い方の設計です。
料金: スポット診断 ¥98,000〜 / 標準監査 ¥280,000〜
設定だけで端末を守り切ることはできません。 Claude Code の権限ルールやサーバー側の管理設定は、公式ドキュメント自身が「セキュリティ境界ではない」部分を明記しています。OS の権限・MDM・サンドボックスと組み合わせた多層の設計にします。
見るところ
何を設計・確認するか
2026年10月時点の公式ドキュメントにある機能だけを前提にします。バージョンで変わる挙動は、導入時点の版で確かめます。
権限と設定の階層
- 許可モード（Manual・acceptEdits・plan・auto・dontAsk・bypassPermissions）のうち、どれを誰に使わせるか
- allow / ask / deny ルールの設計（評価は deny → ask → allow の順で、具体性では順位が変わらない）
- 管理設定（managed settings）の配布方法（設定ファイル・MDM・サーバー管理設定）と、開発者が上書きできない項目
bypassPermissionsや auto モードを組織として止めるかどうか
隔離と秘密情報
- サンドボックスの有効化（既定では無効）と、読み取りを禁じる場所の指定（既定では
~/.sshなども読める） Read(./.env)の deny がスクリプトや子プロセスには効かないことを前提にした、秘密情報の置き方- ネットワークの許可ドメインと、広すぎる許可（例: github.com 全体）からの持ち出し経路
- コンテナ・VM で動かす範囲の切り分け
拡張の信頼
- MCP サーバーの許可・拒否リストと、組織で固定する
managed-mcp.json - 第三者の MCP サーバーの採否（Anthropic は MCP サーバーのセキュリティ監査をしていない）
- hooks（利用者の権限でコマンドを実行する）の管理と、管理設定以外の hooks を止めるか
- プラグインのマーケットプレイスの制限
CI と監査
- GitHub Actions で動かすときの、起動できる人・未信頼の PR の扱い・API キーの保管
claude -pでは信頼ダイアログが出ず、リポジトリの hooks や.mcp.jsonがそのまま動く点への対策（--bareなど）- OpenTelemetry による利用の可視化（プロンプト本文は既定では記録されない）
- データの扱い（商用規約での学習・保持期間）を社内規程と照合
タイミング
設計しておくべきとき
数人の試用から、全員に配る前
個人の設定のまま広がると、後から管理設定で締めるときに反発と例外が増えます。
CI や GitHub Actions で動かす前
人が見ていない場所で動くので、権限とツールの許可を最初に絞ります。
社外の MCP サーバーをつなぐ前
外部の内容を取り込むサーバーは、プロンプトインジェクションの入口になります。
顧客のコードや個人情報を扱う案件で使う前
契約や社内規程で求められる扱いと、ツールの設定が合っているかを確かめます。
やらないこと・限界
- Anthropic 社や Claude Code 製品そのものの安全性を評価・保証するものではありません。利用者側の設定と運用の設計です。
- 管理されていない端末では、サーバー側の管理設定は管理者権限なしでも回避できます（公式ドキュメントの記載）。端末管理と組み合わせる前提で設計します。
- 契約・個人情報保護に関する法的な助言は行いません。
担当者
誰が見るのか
監査を承るのは 友田 陽大（フリーランスのフルスタックエンジニア）です。肩書きではなく、公開している調査・ツール・実績で判断してください。
Supabase RLS の実地調査（公開リポジトリ1,000件）
公開リポジトリを静的解析し、RLS を設定済みの994件のうち9.2%（91件）に「ログインは確かめるが、行を持ち主で絞らない」ポリシーがあることを、該当する235件をすべて手で確かめたうえで公開しました。
OSS のセキュリティツールキット Aegis
Next.js / Supabase 向けのスキャナと防御の部品を MIT ライセンスで公開しています。監査で使う自動検出の一部は、誰でも手元で試せます。
経済産業大臣賞の B2B SaaS（木材流通）
単独開発全221APIの認証欠落0件を、4ラウンドの自主セキュリティ監査（静的監査→ライブ診断→ペネトレーション）で実証し、テナントをまたぐ個人情報の漏洩などの重大な指摘をすべて修正しました。
放送事業者の社内AI基盤
チーム開発個人情報の暗号化保存・監査ログ・WAF・鍵を置かない CI/CD を、後付けではなく初期設計から組み込みました。
料金
料金の目安
既存の監査プランの段階で承ります。表示額は税別の「から」の目安で、人数・端末管理の有無・CI の範囲で見積もります。
スポット診断
今の設定（権限ルール・管理設定・MCP・hooks・CI）を棚卸しし、リスクを優先度つきで報告してほしい
期間: 約1週間
¥98,000〜税別
標準監査
組織の方針から、管理設定・サンドボックス・MCP の許可リスト・CI・監視の設定案まで一式で設計したい
期間: 約2〜3週間
¥280,000〜税別
期間は人数と端末管理の有無で変わります。設定ファイルの配布や CI への組み込みまで任せたい場合は、相談の中で範囲を決めて見積もります。
よくある質問
「AIで作ったアプリの診断」とは何が違いますか？
あちらは Claude Code などが書いたアプリ（成果物）に穴が無いかを見る診断です。こちらは、組織で Claude Code というツールそのものを安全に使うための、権限・管理設定・サンドボックス・MCP・CI の設計です。両方が必要な場合は、まとめて範囲を決められます。
サンドボックスを有効にすれば安全ですか？
一部です。2026年10月時点の公式ドキュメントでは、サンドボックスは既定で無効で、有効にしても既定では
~/.sshなどの読み取りは許されます。また Read・Edit・WebFetch などのツール、hooks、ローカルの MCP サーバーはサンドボックスの外で動きます。読み取りの禁止やネットワークの許可ドメインを合わせて設計する必要があります。.envの読み取りを deny にしておけば、秘密情報は守れますか？それだけでは守れません。公式ドキュメントのとおり、
Readの deny ルールは Claude のファイル操作ツールには効きますが、スクリプトや子プロセスが間接的に読むことは止めません。秘密情報を端末に置かない設計や、サンドボックスでの読み取り禁止と組み合わせます。Anthropic が公開している MCP サーバーは安全確認済みですか？
公式ドキュメントは、Anthropic が MCP サーバーのセキュリティ監査や管理をしていないと明記しています。外部の内容を取り込むサーバーはプロンプトインジェクションの入口にもなるため、組織で許可リストを決めて運用します。
コードやプロンプトは学習に使われますか？
2026年10月時点の公式ドキュメントでは、商用規約（Team・Enterprise・API など）で Claude Code に送られたコードやプロンプトは生成モデルの学習に使われず、標準の保持期間は30日です。個人向けプランは利用者の選択で扱いが変わります。社内規程と照合するときは、契約中のプランの最新の記載で確かめます。
費用はいくらですか？
現状の設定の棚卸しと優先度つきの報告がスポット診断（税別¥98,000〜）、方針から設定案まで一式の設計が標準監査（税別¥280,000〜）の段階です。人数・端末管理の有無・CI の範囲で見積もります。
全員に配る前に、30分で範囲を決めましょう
今の使い方と、守りたいもの（顧客コード・秘密情報・本番環境）を伺って、何を先に決めるべきかを整理します。
秘密保持契約（NDA）は、相談の前から結べます。