Claude Codeのセキュリティ設計｜会社で使う前に決める権限・保存先・監査の3点

「これ、入れて大丈夫ですか」。開発部から回ってきた1枚の申請書。ツール名はClaude Code。用途の欄には「業務の自動化」とだけ書かれています。承認の判断を求められているのに、判断の材料が社内に1つもありません。返す言葉は「持ち帰って確認します」。その持ち帰り先も、社内にはありません。

情シスとして許可を出す場面でつまずくのは、たいてい次の3点です。

• 何を設定すれば「安全です」と言い切れるのか、判断の基準が社内に無い
• 禁止事項を通達で配っても、守られたかどうかを後から確認できない
• 事故が起きたとき、誰が何を渡したのかを追える記録が残っていない

この記事では、許可を出す前に決める項目を次の順で整理します。会社としての可否を1回で出し切るための並びです。

• 権限：何を自動で通し、何を止めるかをルールとして書く方法
• 保存先：設定と機密をどこに置き、誰が上書きできる状態にするか
• 監査：記録がどこに何日残り、そのうち何を会社側へ集めるか
• 詰まりどころ：許可を出した後に実際に起きる3つの症状と直し方

Saix自身、社内の業務をClaude Codeで動かしながら、100社以上のAI導入・経営変革を支援しています。使う側であり、社内へ許可を出す側でもある立場から、通達ではなく設定で止める前提で書きます。公式ドキュメントの記載は、判断に使う箇所をその場で開いて確かめました。

前提の確認｜守る対象はソースコードではなく、AIに渡した社内の資料

最初に対象をそろえます。Claude Codeは、社員の端末のターミナル（文字で操作する黒い画面）や対応エディタから動かす道具です。会社のサーバーに設置する製品ではなく、1人ひとりのパソコンの中で動きます。

ここで守る対象がずれます。守るのはソースコードだと思われがちですが、実際に渡るのは作業フォルダの中身です。見積書、顧客リスト、議事録、給与の一覧。フォルダに置いてあれば、業種を問わずAIの視界に入ります。

IPA（情報処理推進機構）の情報セキュリティ10大脅威 2026では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初選出されました（2026年1月29日公開）。判断を先送りする段階ではありません。

決めるのは3つです。どの端末で動かすか。どのプランで契約するか。どのフォルダから起動するか。この3つが決まらないまま可否だけを答えると、後から全部やり直しになります。

権限｜拒否が最優先で、その下に例外の許可は作れない

Claude Codeの権限は、許可・確認・拒否の3種類のルールで書きます。公式の権限の設定ドキュメントを開くと、判定の順番が明記されています。ルールは拒否・確認・許可の順に評価され、最初に当たった1件が結果を決めます。

情シスにとっていちばん効くのは、その次の一文です。ルールの細かさは、評価の順番を変えません。広く書いた拒否は、細かく書いた許可より常に強く効きます。

禁止事項と例外を同じ表に並べる社内規程の書き方は、そのまま持ち込むと機能しません。拒否ルールの中に例外の穴は空けられないので、例外を作りたい操作は最初から拒否に入れません。

拒否の書き方も2通りあります。道具の名前だけを書くと、その道具はAIの視界から丸ごと消えます。括弧を付けて中身を指定すると、道具は残したまま、当てはまる呼び出しだけを止めます。

会社として決めるのはこの粒度であって、製品名の可否ではありません。

止めたい操作は拒否、目を通したい操作は確認、と役割で分けてください。確認の行に当たった呼び出しは、より細かい許可があっても画面に出ます。

そのうえで、拒否に入れる操作を業務の側から決めます。削除、送信、公開、支払い。この4つは、間違えたときに元へ戻せない操作です。

戻せるかどうかで線を引くと、部署が違っても同じ基準で判断できます。機能名で線を引くと、業務ごとに議論が振り出しへ戻ります。

次に権限モードです。作業を始めた時点でどのモードにいるかで、確認なしに通るものが変わります。

モード	確認なしで通るもの	会社としての扱い
手動	読み取りが中心。変更の前に毎回確認が入る	初期値として推奨
編集の自動承認	作業フォルダ内のファイル編集と、フォルダ作成・移動などの操作	作業フォルダを限定できるなら可
計画	読み取りと調査のみ。元のファイルは書き換えない	調査・下見の用途で可
自動	別の判定モデルが内容を見て、危険と判断したものを止める	拒否・確認ルールと併用で可
事前許可のみ	許可リストに書いたものだけ。ほかは自動で拒否	厳格に運用したい部門向け
確認を飛ばす	ほぼすべて	隔離した検証環境だけ

※モードの区分と挙動は、Claude Code公式ドキュメント（2026年9月時点）の記載にもとづきます。更新が早い領域のため、社内規程へ落とす前に必ず公式ページで最新の内容をご確認ください。

会社が真っ先に決めるのは、いちばん下の行です。確認を飛ばすモードは、壊れても被害が出ない隔離環境でだけ使う前提のものです。本番の共有フォルダで使う設定ではありません。

このモードと自動モードは、会社が配る管理設定で禁止できます。書き方は後ろの章に置きました。

もう1つ、通達では代えられない性質があります。権限ルールを実装しているのはAIモデルではなく、Claude Code本体のプログラムです。

Saixが支援先で最初に引く線は、金銭が動く操作です。自社のYouTube「Claude Code × CFO 経理財務担当役員をAIに任せる方法」でも、読ませるのは残高や試算表まで。振込・支払いの実行と仕訳の登録修正は頼まないと明言しています。

読み取りの誤りは後から直せますが、送金の誤りは直せません。この1行を権限ルールと運用ルールの両方へ書いておくと、担当者が代わっても判断が揺れません。

保存先｜設定は5層に分かれ、会社が配る1層だけは社員が上書きできない

権限ルールをどこに書くかで、効く範囲が変わります。公式ドキュメントによると、Claude Codeは5つの場所から設定を読み込みます。

置き場所	誰に効くか	会社としての使い方
起動時のフラグ（–settings など）	その場の1回だけ	会社は配れない。本人がその場で足す
個人設定（本人のホーム配下）	その人の全プロジェクト	本人の好み。会社は触らない
共有プロジェクト設定	そのフォルダで作業する全員	チーム共通の権限と検査の置き場
プロジェクト個人設定	本人・そのプロジェクトだけ	例外の一時退避。共有されない
管理設定（会社が配布）	組織の全員	社員が上書きできない安全の下限

安全の下限を置けるのは、いちばん下の管理設定だけです。上の層は本人が編集できます。配ったルールが消されていないかを毎月疑う運用をやめるために、下限は管理設定へ書きます。

ただし公式には例外が2つあります。下の層により厳しい値が書かれている場合はそちらが優先されること。確認を飛ばすモードと自動モードの可否が、プロジェクト設定からは効かないことです。

覚えておきたい挙動が1つあります。確認画面で「今後は確認しない」を選ぶと、その承認は本人のプロジェクト個人設定へ許可ルールとして保存されます。

本人が押した承認は、チームの共有設定を見ても出てきません。棚卸しのときは、共有設定だけでなく個人側のファイルも対象に入れてください。

機密の置き場は、権限とは別の線で管理します。Saixが支援先へ最初に伝えているのは次の3点で、自社のYouTube（財務編）でも同じ順で説明しています。

• APIキー（外部サービスとつなぐための認証の文字列）は環境変数ファイル1か所へ集約し、プログラム本体に直接書かない
• その環境変数ファイルを、変更履歴を残す仕組み（バージョン管理）の除外リストへ必ず入れる
• 会計ソフトなど外部サービスとの連携は読み取り中心にし、書き込みは人が画面を開いて行う

3つ目まで含めて1セットです。手元でしか見えなかったはずの文字列は、共有の保管庫へ上がった瞬間に外から読める状態になります。これは技術者の不注意ではなく、除外の設定が1行足りないだけで起きます。

渡す資料の側も同じ発想で絞ります。Saixが使っているABC方式（材料・加工途中・成果物の3つにフォルダを割る型）では、原本を書き換えさせず複製した中間ファイルだけを読ませます。割り方と運用はフォルダを3つに分ける整理の型にまとめています。権限を細かく書く前に、そもそも触れる場所を減らすほうが効きます。

監査｜記録は30日で消える前提で、何を会社側へ集めるかを先に決める

3点目は記録です。事故が起きた日に「誰が何を渡したか」を追えるかどうかは、その日より前の設定で決まります。

公式のデータ使用ポリシーに保持期間が書かれています。法人利用（Team・Enterprise・API）は標準で30日。Enterpriseでは、組織単位で一切保持しない設定も選べます。

同じページには、法人利用で送った内容をモデルの学習には使わないことも明記されています。「社内資料が学習される」という不安は、契約の種類で答えが出る話です。感覚ではなく、契約書と設定画面で確認してください。

個人向け（Free・Pro・Max）は扱いが変わります。モデル改善への利用を許可している場合、最長5年ぶん残ります。許可していなくても会話は消すまで残るので、個人契約のまま業務で使わせると、この判断が社員任せになります。

端末の側にも、暗号化されない文字のまま記録が残ります。日数は設定で変えられるので、後ろの章で実際の書き方を示します。

端末を回収・交換するときの手順書に、この保存場所を1行足してください。退職時の初期化だけでは、貸出機や予備機に残ります。

会社側へ集める仕組みも公式にあります。Saixが定期的に見ているのは、使用量の多さより先に、配ったはずの設定が書き換えられていないかです。異常はたいてい、使い過ぎではなく設定の巻き戻しとして現れます。

自社のYouTube「経営者のClaude Code活用事例7選」でも説明していますが、法人向けのチームプランでは誰がどれだけ使ったかを管理側から確認できます。記録を会社の資産として残すなら法人プランです。契約単位と料金の違いは法人プランと料金の整理にまとめています。

情報システム部門が、今日そのまま配れる1枚

ここまでの3点を1つのファイルに落とします。そのまま配れば、初日から全員が同じ下限で始められます。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./secrets/**)",
      "Bash(rm -rf *)"
    ],
    "disableBypassPermissionsMode": "disable",
    "disableAutoMode": "disable"
  },
  "cleanupPeriodDays": 7
}

拒否の3行は、認証情報の読み取りと戻せない削除。禁止の2項目で、確認を飛ばすモードと自動モードをふさぎます。値は true ではなく “disable” です。最後の日数は、社員のパソコンに残る会話記録の保持で、既定の30日を7日に縮めています。

置き場所：OSごとに決まっていて、1文字違うと効かない

ファイル名は managed-settings.json。ここ以外に置いても読み込まれません。

OS	置き場所
macOS	/Library/Application Support/ClaudeCode/managed-settings.json
Windows	C:\Program Files\ClaudeCode\managed-settings.json
Linux・WSL	/etc/claude-code/managed-settings.json

Windowsで C:\ProgramData\ClaudeCode\ に置くと、設定は一切効きません。公式が名指しで「読み込まれない」と書いている古い場所です。エラーが出ないので、配った側は効いているつもりのまま何か月も過ぎます。

この内容を自社に当てはめたい方は、無料のAI活用セッションで相談することもできます。

確認：配ったあと、対象のPCで1コマンド打つ

配って終わりにしないでください。対象のパソコンでClaude Codeを開き、確かめます。

/status

Setting sources の行に Enterprise managed settings (file) と出れば読み込まれています。出なければ置き場所が違います。弾かれた項目は claude doctor で一覧できます。

※ファイル名・置き場所・設定キー・確認コマンドは、Anthropicの管理設定の公式ドキュメントの記載（2026年9月時点）にもとづきます。実際に開いて確認しました。

詰まりどころ｜線の引き方を間違えると、3つの症状になって現れる

ここからは、許可を出した後に実際に起きることです。支援の現場で繰り返し見ている3つを、症状の形で並べます。

症状1：拒否を広く書きすぎて、業務で必要な1つまで止まる

最初に起きるのはこれです。安全側に倒して広い拒否を書くと、その配下の操作が全部止まります。前の章のとおり、後から狭い許可を足しても通りません。

直し方は、拒否の行を書き直して線を引き直すことだけです。「例外申請を出させて許可を追加する」という運用は、この仕組みでは成立しません。

申請の様式を作る前に、拒否へ入れる操作を4つ以内に絞ってください。数が増えるほど、例外の相談が現場から上がってきます。

関連資料：「Claude Code 事故防止プロンプト集」（PDF・無料）を配布しています。

症状2：本人が押した「今後は確認しない」が、誰も知らない許可一覧になる

確認の画面は、忙しい日ほど早く押されます。押した承認は本人のファイルへ積み上がり、共有設定には出てきません。

半年後に棚卸しをすると、部署ごとに違う許可一覧ができあがっています。会社が決めた下限を管理設定に書いていれば、この積み上がりは下限を割りません。書いていなければ、割ります。

棚卸しの頻度を上げても解決しません。見る対象が人数分あり、増え続けるからです。数える運用ではなく、割れない下限を1回配る運用へ寄せてください。

症状3：禁止と書いていない場所で、上書きと削除が起きる

事故は、手順の外側で起きます。自社のYouTube「Claude Code × CHRO 採用組織担当役員をAIに任せる方法」では、安全ルールを先に書いています。既存の要件と過去の原稿は上書き・削除しない、という1行です。

書いていないと、過去の原稿が消えて戻せない状態になります。手順を増やすより、やってはいけない動作を明示するほうが事故は減ります。

出力の側にも同じ線が要ります。自社のYouTube（営業編）で紹介している見積書の作成には、振込先・口座番号・カード番号を文書に書かないというルールを仕込んであります。

入口の権限だけを固めても、出口から出ていく書類に口座情報が載っていれば同じことです。入口と出口の両方に線を引いてください。

起きた事故そのものの一覧はClaude Codeで起きた事故の実例にまとめています。先に読むと、どの線から引くべきかの優先順位が決まります。

会社で使うときの注意｜許可を出す順番は、契約・権限・記録の3手

最後に、申請書を承認するまでの手順へ落とします。順番を変えると手戻りが出ます。

STEP1契約の単位を決めます。業務で使うなら法人プランを基本にし、個人契約での業務利用は認めない。ここを先に決めないと、管理設定を配ることも、記録の行き先を決めることもできません。

STEP2権限の下限を管理設定として配ります。確認を飛ばすモードと自動モードの可否、金銭と削除に関わる操作の拒否ルール。この3行が決まれば、申請の可否はその場で出せます。

STEP3記録の行き先を決めます。保持期間の設定、監視の仕組みへの送信、端末に残る作業記録の扱い。運用開始の後で足すと、開始から設定日までの記録が残りません。

ゴール：申請書を見た情シスが、契約の単位・権限の下限・記録の行き先の3欄を指さして可否を答えられる状態になっていればOKです

この3手は、部署をまたいで同じ形で使えます。部署ごとに違うのは、拒否に入れる操作の中身だけです。経理は金銭、人事は個人情報、営業は顧客データ。線を引く場所が業務で変わります。

よくある質問

Q. 社内資料をAIに読ませると、外部へ学習データとして渡りますか

法人利用（Team・Enterprise・API）では、送った内容をモデルの学習に使わないと公式に明記されています。個人向けプランは本人の設定次第で扱いが変わります。業務利用は法人契約に寄せ、設定を会社側で固定してください。

Q. 何人から法人プランにすべきですか

記録を会社で持つなら、人数にかかわらず法人プランです。法人向けのチームプランは複数名からの契約単位で、誰がどれだけ使ったかを管理側から確認できます。2〜3名で試す段階は個人プランでも成立しますが、業務データを扱う前に切り替えます。

Q. 通達や社内規程だけで運用を始めてはいけませんか

規程は必要ですが、順番が後です。実行できる範囲を決めるのは権限の設定で、指示文や通達では変わりません。拒否ルールと管理設定で線を引き、規程はその内容を人へ説明する文書として後ろへ置いてください。

まとめ

安全と言い切れるかどうかは、製品の性能ではなく設定の有無で決まります。権限・保存先・監査の3点が設定ファイルに書かれているか。判断はこの1点で足ります。

最初に効くのは拒否ルールです。広い拒否の下に例外は作れないので、線は少なく太く引きます。そのうえで、社員が戻せない管理設定として配る。ここまでが会社の仕事で、ここから先が現場の運用です。

記録は、何を残しどこへ送るかを開始の前に決めてください。端末に残る作業記録の扱いも同じ日に手順書へ足します。後から足すと、いちばん知りたい初期の記録だけが欠けます。

次の一手は、申請が来ている業務のフォルダを1つ開き、そこに何が入っているかを数えることです。線を引く場所は、その中身が教えてくれます。フォルダの割り方は整理の型、契約の比較は法人プランの整理にあります。自社だけで決め切れない場合は、無料のAI活用セッション30分で線引きを一緒に固めてください。