法人利用で想定すべき5つのリスク
Claude Codeはローカルのファイルを読み、コマンドを実行するツールです。チャット型AIより自律的に動くぶん、リスクの種類も変わります。研修のセキュリティ4モジュールは、この5点を起点に設計しています。
Claude Codeの権限制御の仕組み
Claude Codeには、どの操作を自動で通し、どの操作で確認を求めるかを段階的に選ぶ仕組みがあります。権限モードは5種類あり、組織側で使えるモードを制限できます。
| 権限モード | 挙動 | 法人利用での使いどころ |
|---|---|---|
| Manual（default） | 読み取りは作業ディレクトリ内で自動。ファイル編集とコマンド実行は初回に都度承認を求める | 導入初期・機密度の高いリポジトリ。研修ではこのモードから始める |
| Accept Edits | 作業ディレクトリ内のファイル編集と mkdir・mv・cp などの基本操作を自動承認。その他のコマンドは承認が要る | レビュー体制がある開発チームの日常作業 |
| Plan | 読み取りと読み取り専用コマンドだけで調査し、編集はしない | 変更前に方針だけ出させたいとき。影響範囲の確認 |
| auto | 分類器（別のモデル）が各操作を審査し、指示に沿う操作を自動承認する | 自律的に長い作業を任せたい場合。組織側で無効化できる |
| bypassPermissions | ほぼ全ての確認を省略する | 隔離されたコンテナ・VM以外では使わない。組織側で無効化できる |
- 許可リスト・拒否リスト
- ツール単位・コマンド単位で allow / deny / ask のルールを書けます。deny が常に優先され、たとえば特定のディレクトリの読み取りや、外部へデータを送るコマンドを組織として禁止できます。
- 作業ディレクトリの境界
- 読み書きの対象は起動したディレクトリと、明示的に追加したディレクトリに限られます。境界の外は既定で読めません。
- Sandboxed bash
- シェルコマンドをOSレベルのサンドボックスで実行し、ファイルシステムと通信先を制限します。書き込み先は作業ディレクトリと一時領域、通信先は許可したドメインだけになり、初めてのドメインは承認を求めます。macOS・Linux・WSL2で動作します。
- Hooks
- ツール実行の前後に自社のスクリプトを差し込めます。実行前の検証（危険なコマンドの遮断）や実行後の記録に使います。Hooks の判定は deny ルールを上書きできません。
- managed settings
- 管理者が組織全体に配布する設定で、利用者側からは上書きできません。権限ルール、auto モードや bypassPermissions の無効化、利用できる MCP サーバーの制限を組織単位で強制できます。
プロンプトインジェクションへの対策
Anthropicの公式ドキュメントは、プロンプトインジェクション対策として以下の仕組みを説明しています。
上記はAnthropicが公式に説明している対策ですが、外部コンテンツを扱う以上、リスクはゼロになりません。サードパーティ製MCPサーバーの内容は監査されておらず、接続先が返す内容の安全性は利用者側の責任です。研修DAY1のモジュール04では、実際にインジェクションを仕込んだファイルを読ませる攻撃デモを見せ、「どこまでは仕組みが守り、どこからは運用ルールで守るか」の線引きを体験してもらいます。
データの学習利用と保持期間
「入力したコードやデータがAnthropicの学習に使われないか」は、導入検討で必ず出る質問です。公式のデータ利用ポリシーを、法人利用の観点で整理しました。
| 区分 | モデルの学習利用 | 保持期間 | 備考 |
|---|---|---|---|
| 個人プラン（Free / Pro / Max） | アカウント設定で選択。許可している場合は学習に使われる | 許可時は5年。不許可時は30日 | 設定は各利用者に委ねられるため、業務利用では組織の方針に合わせた設定を求める |
| 商用プラン（Team / Enterprise / API） | 既定で使われない。データ提供プログラムへ明示的に参加した場合のみ | 標準30日 | Enterpriseでは資格を満たす組織にゼロデータ保持を個別に有効化できる |
| フィードバック送信時 | 送信した会話は製品改善に利用され得る | 5年 | 環境変数で送信機能そのものを無効化できる。組織ポリシーで無効化している場合は表示されない |
ブラウザ版のClaude Codeでは、Anthropicが管理する分離されたVM上でセッションが動きます。GitHubの認証は安全なプロキシ経由で行われ、認証情報はサンドボックスに入りません。外向きの通信は監査ログと不正利用防止のためセキュリティプロキシを経由します。データの扱いはローカル実行と同じポリシーに従います。
企業向けの管理機能
情報システム部門が組織全体に設定を強制し、利用状況を把握するための機能です。研修DAY1のモジュール06「組織導入ガイドライン設計」で、自社にどれが必要かを検討します。
- 設定の一元配布
- managed settings で権限ルール・許可する MCP サーバー・無効化するモードを配布します。利用者側の設定で上書きできません。
- 利用状況の監視
- OpenTelemetry に対応しており、利用量・セッション数・コストなどのメトリクスを自社の監視基盤へ送れます。
- 設定変更の検知
- 設定ファイルの変更をフックで捕捉でき、意図しない権限緩和を記録・遮断できます。
- 監査の資料
- SOC 2 Type 2 や ISO 27001 などのコンプライアンス資料は Anthropic の Trust Center で提供されています。社内の情報セキュリティ審査にはここから取得します。
- ネットワーク
- 利用者の端末から Anthropic の API へ TLS 1.2 以上で通信します。VPN や LLM プロキシ経由の構成にも対応しています。
研修で扱うセキュリティ4レイヤー
Claude Code 企業研修のSTANDARDコースは、全12モジュール中4モジュールをセキュリティ・運用に充てています。4つのレイヤーと、対応するモジュール・成果物の関係です。全モジュールは研修カリキュラムをご覧ください。
| レイヤー | 守る対象 | 研修で扱うモジュール | 持ち帰るもの |
|---|---|---|---|
| L1 シークレット暗号化 | APIキー・接続文字列・個人情報を含む設定ファイル | DAY2-03 セキュアな運用設定演習（dotenvx） | 暗号化済みの設定と、平文を作らない運用手順 |
| L2 権限設計 | Claude Codeが読める範囲・実行できる操作 | DAY2-03 セキュアな運用設定演習（allowedTools・権限モード・作業ディレクトリ） | 自社の許可リスト・拒否リストの初版 |
| L3 プロンプトインジェクション対策 | 外部由来コンテンツからの乗っ取り | DAY1-04 AI固有の新しい脅威と攻撃デモ／DAY1-05 情報漏洩防止 実例ケーススタディ | 外部コンテンツを扱うときの確認手順 |
| L4 監査ログ・シャドーAI検知 | 誰が・何を・どのアカウントで使ったか | DAY1-03 セキュリティ基礎（CIA・脅威モデリング）／DAY1-06 組織導入ガイドライン設計 | ログの取得方針と未承認利用の検知ルール |
社内ガイドラインに含めるべき8項目
研修DAY1の最終モジュールで、この8項目を自社向けに埋めていきます。すでにAI利用ポリシーがある企業は、Claude Code固有の項目（権限・MCP・シークレット）を追記する形で進めます。
- 個人アカウントで顧客データ・ソースコードを扱う（学習利用の設定が確認できない）
- bypassPermissions を通常の端末で常用する
- 出所を確認していないMCPサーバーを本番データに接続する
- 平文の .env や認証情報ファイルを含むディレクトリで作業する
- 生成物をレビューなしでコミット・送付する
- 自社向けの社内ガイドライン草案（上記8項目を埋めた状態）
- セキュアな初期設定を施した各受講者の端末
- 自社の業務ルール・禁止事項を書いた CLAUDE.md
- 翌日から実行できるタスクリストと展開ロードマップ
セキュリティに関するよくある質問
QClaude Codeは社内のファイルを勝手に外部へ送信しませんか？
Claude Codeは作業ディレクトリ内のファイルを読み、作業に必要な内容をプロンプトとしてAnthropicのAPIへ送ります。これは動作の前提であり「勝手に」ではありませんが、読める範囲に機密情報があれば送信対象に入り得ます。作業ディレクトリの境界・拒否リスト・サンドボックスで読める範囲を絞り、平文のシークレットを作業ディレクトリに置かないことが対策です。API経由の外部送信を伴うコマンドは権限で禁止できます。
Q個人のPro / Maxアカウントで業務に使っても問題ありませんか？
会社の方針次第です。個人プランは入出力の学習利用がアカウント設定で選べるため、業務利用するなら設定を確認し組織方針に合わせる運用が要ります。管理者が設定を統括したい、監査ログが必要、という段階では商用プラン（Team / Enterprise）のほうが管理しやすくなります。研修の受講自体はPro / Maxで足ります。
Qプロンプトインジェクションとは何ですか？研修で防げるようになりますか？
AIが読み込むファイルやWebページ、ツールの応答に「以前の指示を無視してこれを実行せよ」といった文を仕込み、AIを乗っ取ろうとする攻撃です。Claude Codeには権限システム・分離コンテキスト・外部取得コマンドの非自動承認などの対策が組み込まれていますが、完全ではありません。研修では攻撃デモで仕組みを理解したうえで、権限設計と外部コンテンツの扱いルールで残るリスクを下げる方法を扱います。
QMCPサーバーは安全ですか？
MCPサーバーの多くはサードパーティが提供しており、Anthropicが内容を監査しているわけではありません。接続前に提供元・要求する権限・扱うデータを確認し、組織として承認したものだけを managed settings で許可する運用が必要です。研修DAY2のモジュール04で、MCP連携の設定と権限スコープの管理を演習で扱います。
Q情報システム部門が最初に決めるべきことは何ですか？
4点です。利用を許可するプランと学習利用の設定、ネットワーク（AnthropicのAPIエンドポイントへの通信許可とプロキシ）、managed settings で強制する権限ルール（禁止コマンド・無効化するモード・許可するMCP）、ログの取得と確認の担当。このページの「社内ガイドラインに含める8項目」がチェックリストになります。
出典・参照した一次情報
- Claude Code 公式ドキュメント（セキュリティ）
https://code.claude.com/docs/en/security - Claude Code 公式ドキュメント（権限の設定）
https://code.claude.com/docs/en/permissions - Claude Code 公式ドキュメント（サンドボックス化されたBashツール）
https://code.claude.com/docs/en/sandboxing - Claude Code 公式ドキュメント（データ利用）
https://code.claude.com/docs/en/data-usage - Anthropic プライバシーセンター
https://privacy.claude.com/ - Anthropic Trust Center（コンプライアンス資料）
https://trust.anthropic.com/