Claude Code社内展開でよく出る5つの懸念とセキュリティ・データの扱いを一次情報で説明する回答集

Claude Code社内展開で懸念が出るのはなぜか

Claude Codeを社内に広げようとすると、ほぼ確実に同じ種類の懸念が返ってきます。「自分のコードはどこへ送られるのか」「AIにプロダクションコードを触らせて大丈夫か」「今のやり方のほうが速い」といった疑問です。これはツールへの不信というより、コードに触れるツールへの当然の慎重さです。

AnthropicのChampion kitは、この種の懸念に対して一般論で反論するのではなく、懸念を認めたうえで小さな再定義を1つ添え、本人のコードで1回の実演を提案するやり方を勧めています。多くの懸念は、1回の成功体験で解消するからです。この記事では、champion-kitが挙げる5つの懸念への返し方と、最も重い「セキュリティとデータの扱い」という質問に、公式の権限アーキテクチャとデータポリシーで答える材料をまとめます。

Claude Codeのセキュリティ機構そのものの全体像はClaude Codeセキュリティ・権限ガイド、サンドボックスの技術的な仕組みはClaude Codeのサンドボックス設計に譲り、ここでは「社内展開の現場で聞かれたときにどう答えるか」に絞ります。

よく出る5つの懸念にどう答えるか

これらの返しに共通するのは、一般論を主張するのではなく「その人自身のコードで確かめてもらう」という一点に落とし込むことです。議論で勝つ必要はありません。

「若手が育たなくなる」という懸念は特に扱いが難しいものです。読み解く力を鍛える教材としての使い方と、考えずに変更を丸投げする使い方は別物であり、チーム内でどちらを推奨するかを最初に決めておくと、この懸念自体が起きにくくなります。

「コードはどこへ行くのか」に一次情報で答える

最も重く、かつchampion-kitが「管理者に回す」よう明記している質問がセキュリティとデータの扱いです。チャンピオンが推測で答えると、後から管理者の説明と食い違うリスクがあるためです。ここでは管理者やチャンピオンが根拠として使える一次情報を挙げます。

Claude Codeはターミナル上で動作します。プロンプトとモデル出力はTLS 1.2以上で暗号化されて、モデルの提供元へ送られます(Claude API直結ならAnthropic API)。テレメトリやエラーレポートの送信先、/feedbackの扱いは次の節に分けて書きます。v2.1.283以降の対話セッション(ターミナルとVS Code)は、Autoモードで始まります。Autoモードでは、別の分類モデルが各操作の可否を判定します。承認制のManualモードを選ぶと、ファイルの編集やリスクのあるコマンドの実行は実行前に承認を求める設計です。Manualモードでは、読み取り専用のファイル参照とGrep/Globは作業ディレクトリの範囲内であれば承認なしに動きます。それより外側を読む場合や、ファイルの変更・大半のシェルコマンドの実行にはユーザーの承認が必要です。

データの学習利用については、契約形態によって扱いが分かれます。

データの保持期間も契約形態で異なり、商用契約は標準30日、個人利用は学習利用への同意有無で30日または5年です。Enterpriseの一部の組織はZero Data Retention(ゼロデータ保持)を個別に有効化でき、その場合はサーバー側にデータが残りません。ローカルのセッション記録は~/.claude/projects/配下に平文で保存され、既定では30日で自動的に整理されます。

lsやgit statusなどの読み取り専用コマンドは承認なしで動きます。それ以外は1回ごと、または「今後も許可」のルールとして.claude/settings.local.jsonに保存して管理します。組織側はサンドボックス機能で、ファイルシステムとネットワークをOSレベルで隔離できます。承認プロンプトの頻度も下げられます。

モデルとの通信以外に出ていく送信

セキュリティレビューで後から指摘されやすいのは、モデルとの通信以外に出ていく経路です。管理者が把握しておくと、模範解答の4文に正確な但し書きを足せます。

WebFetchツールも、取得の前にホスト名だけをapi.anthropic.comに送って安全性のブロックリストと照合します。URLのパスやページの中身は送られません。ネットワークでapi.anthropic.comを塞いでいる環境では、WebFetchが失敗します。

Bedrockなどのサードパーティ基盤を使うと、エラーレポートやテレメトリ、/feedbackは既定で無効になります。アンケートとWebFetchの確認は例外で、プロバイダーに関係なく動きます。組織で一括して止めるならCLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFICです。WebFetchの確認だけは対象外で、skipWebFetchPreflightを別に設定します。

「外部から操られないか」という懸念にどう答えるか

セキュリティ担当からは、学習利用より先に「読み込んだWebページやIssueに悪意ある指示が仕込まれていたらどうなるか」というプロンプトインジェクションへの懸念が出ることもあります。Claude Codeはこれに対して複数の防御を組み合わせています。

Manualモードでは、リスクのある操作には明示的な承認が必要です。curlやwgetのようにWebから内容を取得するコマンドは既定では自動承認されず、通常のコマンドと同じ承認フローに乗ります。WebFetchは多くの取得で、ページに対して別のモデル呼び出しを走らせ、Claudeは生のページではなくその回答を受け取ります。対話セッションでは、信頼していないフォルダーで起動するとワークスペースの信頼確認が出ます。プロジェクトの.mcp.jsonにあるサーバーには別の承認プロンプトがあります。Claude Codeが完全には解析できないBashコマンドは、Bash(git *)のような部分的な許可ルールがあっても承認を求めます。

これらは「絶対に防げる」という主張ではなく、リスクを大きく下げる仕組みです。未知の外部サービスを呼ばせるときはVM上で試す、疑わしい挙動は/feedbackで報告するといった利用者側の運用も合わせて伝えるのが誠実な答え方です。「完全に安全とは言い切れないが、リスクのある操作は承認制で、取得したWebページは別のモデル呼び出しで要約される」という具体の水準で説明するほうが、後から過大な約束だったと指摘されるより信頼を保てます。

懸念への回答集を配る前に確認すること

この回答集をそのまま社内に展開する前に、次の2点だけは自分の組織の契約内容で確認してください。champion-kitやこの記事の記述は一般的な商用契約の説明であり、組織固有の追加設定(Zero Data Retentionの有無、SSO・SCIMの設定、サンドボックスの強制方針など)までは代弁できません。

• 自組織がTeamかEnterpriseか、そしてZero Data Retentionを契約しているか
• 管理者がサンドボックスや権限モードを組織全体でどう固定しているか

これらは管理者・IT部門が把握している情報です。チャンピオンの役割は、この記事で示した一次情報を土台にしつつ、組織固有の設定は管理者に確認を回すことです。

MCPサーバーやIDE拡張の話が出たときも同じ構図があります。プロジェクト単位のサーバーは.mcp.jsonでソース管理できますが、他のスコープやclaude.aiのコネクタ、プラグイン経由のサーバーはリポジトリの外にあります。Anthropicはディレクトリに掲載する前に審査を行いますが、個々のMCPサーバーそのものをセキュリティ監査するわけではありません。信頼できる提供元のサーバーを選ぶか自作するかは利用者側の判断です。この点も「公式が全部保証している」と誤解されやすい箇所なので、回答の中で明確にしておくと後の食い違いを防げます。

見落とされがちな本当のリスク

社内展開の懸念対応というと、運用上の見落としになりやすいのは、bypassPermissionsモードを隔離環境の外で使ってしまう設定ミスと、サンドボックスを有効にしないまま組織全体に展開してしまう運用の2つです。学習利用の有無は契約形態で決まります。一方、権限モードの既定値をどう固定するかは、組織側が決めない限り固定されません。

組織のデフォルト設定としてpermissions.disableBypassPermissionsModeのような管理ポリシーをどこまで強制するかを展開の初期段階で決めておくと、後から出る「聞いていた説明と違う」という不信を防げます。v2.1.289のclaude --helpでは、この2つのモードは次のように並びます。

claude --help | grep -A3 -E "permission-mode|dangerously-skip"

--dangerously-skip-permissions        Bypass all permission checks.
                                      Recommended only for sandboxes with no
                                      internet access.
--permission-mode <mode>              Permission mode to use for the session
                                      (choices: "acceptEdits", "auto",
                                      "bypassPermissions", "manual",
                                      "dontAsk", "plan")

--permission-modeは6つの値を受け付けます。承認プロンプトを飛ばすbypassPermissionsが、起動フラグ1つで選べる位置にあるということです。止める手段はpermissions.disableBypassPermissionsModeを"disable"にする設定です。どの設定ファイルでも効きますが、利用者が上書きできない管理設定に置くのが一般的です。allowManagedPermissionRulesOnlyを併用すると、権限ルールの出どころも管理設定だけに絞れます。Autoモードが既定になった今は、permissions.disableAutoModeも同じ管理設定の並びで検討できます。

個々のエンジニアが良かれと思って権限プロンプトを緩めた結果、組織全体のポリシーと食い違う設定が現場に散らばるほうが、学習利用の有無よりよほど扱いにくい問題になります。

まとめ — 懸念は議論でなく実演で解消する

Claude Codeの社内展開で聞かれる懸念のほとんどは、技術的な欠陥への指摘ではなく、コードに触れるツールへの健全な慎重さです。持ち帰る判断は、実演で答えられる懸念と、契約や管理設定に依存するため管理者に回す懸念を分けることです。後者は、この記事の一次情報を土台に、組織固有の契約内容を確かめてから答えます。

懸念に答える役目は、展開の初期に一度きり発生する仕事ではありません。新しいメンバーが加わるたびに同じ質問が繰り返されるので、この記事のような回答集を1か所にまとめておき、都度そこへ案内する形にしておくと、答える側の負担は積み上がりません。

社内展開の週ごとの進め方はClaude Code社内展開の30日プレイブック、送信可能な告知文やFAQのテンプレはClaude Code社内展開のFAQ想定問答とプロンプトテンプレ集にまとめています。