公開日 ・ 約19分で読めます
Claude Codeのセキュリティ。社員に渡す前に決める5つ
Claude Codeのセキュリティとは、AIが会社のファイルとコマンドをどこまで読み、書き、実行してよいかを決める権限の設計のことです。この記事は、Claude Codeを社員に渡す前に経営者が決める5つを、設定の数ではなく判断の順番で書きます。
僕はAIVESTという会社を経営していて、Claude Codeを毎朝の無人のブログ記事便とリサーチ便の母艦として動かしています。人が確認を返せない時間帯に、ファイルを書き、外部のシステムへ投稿まで進む運用なので、権限の設計は理屈ではなく毎朝の実物です。検索上位は公式ドキュメントと「設定を7つやる」型の解説で埋まっていて、それ自体は正しい。ただ、そこには「誰に何を渡すか」「本番と顧客情報にどこまで触れさせるか」「事故のとき誰が止めて戻すか」の順番がありません。この空白を、自社の運用の実物と公式仕様で埋めます。
Claude Codeのセキュリティとは。ChatGPTと何が違い、会社で使う前に何を決めるのか
ChatGPTは「貼った情報」を見る。Claude Codeは「会社のパソコンの中」で動く
ChatGPTの社内利用ルールは、突き詰めると「何を入力してよいか」の話です。画面に貼った情報だけがAIに渡るので、入力禁止の線を引けば守れます。
Claude Codeは違います。会社のパソコンの中で動き、フォルダのファイルを読み、書き換え、コマンド（パソコンへの命令文）を実行できます。入力禁止の線だけでは足りず、「どこまで触らせるか」を先に決める権限の設計が必要になります。これがClaude Codeのセキュリティの本体です。
セキュリティ設定の前に知る公式の既定。読み取り専用・承認制・作業フォルダの中だけ（2026年9月時点）
Anthropic公式ドキュメント（2026年9月6日確認）によると、Claude Codeの既定の動きは次の3つです。
既定は読み取り専用。ファイルの編集やコマンドの実行には、その場で明示の承認を求める
一覧表示など読み取り専用のコマンドの組み込みセットは、確認なしで実行される
書き込めるのは起動したフォルダとそのサブフォルダだけ。親フォルダの変更には明示の権限が要る（作業フォルダ境界）
つまり何も設定しなくても、Claude Codeは「見るのは自由、書くのと実行は毎回聞く」から始まります。この既定を緩める操作が許可モードと許可ルールで、緩める幅を誰にどこまで渡すかが、経営者の決めごとです。
この記事で使う用語は3つだけです。「許可モード」（確認をどのくらい省くかの段階）、「作業フォルダ境界」（AIが書ける範囲の線）、「受け側の拒否」（Claude Codeの外側、受け取るシステムの側で書き込みを断る2層目）。この3つで最後まで通します。
なぜ設定を7つやっても守れないのか？事故は「誰に何を渡したか」で起きる
経営者の関心は「何ができるか」から「何を渡さないか」へ動いている
2026年8月から9月にかけて、僕が追っている範囲のX（旧Twitter）では、Claude Codeや社内ツール作りの話題は成功談より「止める側」が広がりました。引用データとして3つ挙げます。
「一般社員にClaude Codeを使わせたらファイルが消えたり顧客情報が流出したりするのではないか」という趣旨の投稿（@neofakkofu・2026年8月27日）
「社内ツールの環境にはほぼ必ず危ない設定が残る」という趣旨の投稿（@yagiryuuu・2026年8月）
「非エンジニアは車輪の再発明（既にあるものを知らずに作り直すこと）を知ってほしい」という趣旨の投稿（@ds_nakajima・2026年8月）
どれも他社の主張で、僕が検証した事実ではありません。ただ、経営者の問いが「何ができるか」から「何を渡さないか、どこで事故るか」に移っている感触は、導入相談で受ける質問とも一致します。
設定の羅列は「渡し方を決めた後」の実装。順番が逆だと守れない
上位の解説は、リスクの3類型（情報漏洩・外部送信・機密ファイルの混入）を挙げ、既定の安全装置を説明し、設定をN個並べる型です。この型は正しく、設定そのものは公式ドキュメントが最も正確です。
問題は順番です。設定は「誰に、どの段階の権限を、どの範囲で渡すか」を決めた後に、それを機械に強制する手段です。渡し方を決めずに設定だけ配ると、無人で回す仕組みにも触り始めの社員にも同じ線が引かれます。事故は設定の数が足りないから起きるのではなく、渡す相手と範囲がずれたときに起きます。Claude Codeの社内利用で最初に決めるのは設定ではなく渡し方です。
だからこの記事は、次の5つを判断の順番で書きます。
許可モードを3段に分けて、役割で渡す
鍵と本番を切り離す
本番データと顧客情報に触れる範囲を「読む・書く・消す」で決める
作った社内ツールは公開しない、を既定にする
止める・戻す手順が誰の手元にあるかを決める
決めること1: 許可モードを「見るだけ／直す／確認なしで回す」の3段に分けて渡す
公式の許可モードは6つ（2026年9月時点）
公式ドキュメント（2026年9月6日確認）では、許可モードは6つあります。以下の表の左2列は公式の記述の要約、右列は僕の翻訳です。
モード名 | 公式の説明（要約） | 3段への翻訳（僕の整理） |
|---|---|---|
plan | ファイルを読み、読み取り専用のコマンドで探索する。ソースは編集しない | 見るだけ |
default（Manual） | 各ツールの初回使用時に権限を確認する標準動作 | 作業フォルダ内で直す（毎回聞く） |
acceptEdits | 作業フォルダ内のファイル編集と一般的なファイル操作コマンドを自動で受け入れる | 作業フォルダ内で直す（聞かずに直す） |
dontAsk | 事前に許可したツール以外は自動で拒否する | 確認なしで回す（許可した範囲だけ） |
auto | バックグラウンドの安全チェック付きで自動承認する | 確認なしで回す（機械の検査つき） |
bypassPermissions | 権限の確認を省略する。隔離環境でのみ使うよう公式が警告 | 確認なしで回す（隔離が前提） |
公式はbypassPermissionsについて「Claude Codeが損害を引き起こせないコンテナやVMなどの隔離された環境でのみ使用してください」と明記し、ルートやホームフォルダの削除などは回路遮断器として引き続き確認を出す、と書いています（2026年9月時点）。
権限の3段を「渡す人の役割」で当てる
6つを覚える必要はありません。渡す相手の役割で3段に当てはめます。
見るだけ: 触り始めの社員。既存の資料やコードを読ませて要約・質問に答えさせる用途。何も壊れない段から慣れる
作業フォルダ内で直す: 業務で使う社員。自分の作業フォルダの中だけを直させる。壊しても影響がフォルダの中に閉じる
確認なしで回す: 人ではなく「無人で回す仕組み」にだけ渡す。隔離された環境と、受け側の拒否があることが条件
3段目を人に渡す判断は、僕はしません。「確認なしで回す」は人に渡す権限ではなく、隔離と受け側の拒否をそろえた仕組みに載せる運転方式です。公式の警告と同じ線です。
僕の無人便は「確認を省く代わりに、書ける範囲と止まる場所を先に決める」
自社の無人便は3段目です。毎朝、人が確認を返せない時間に、記事の企画・執筆・検証・投稿まで進みます。確認を省いて回す代わりに、方針として次を置いています。
書ける範囲をフォルダで区切る。便が書いてよい場所は、記事の置き場と作業用の場所だけ
公開済みの記事への上書きは、Claude Code側の権限設定だけでなく、受け取る本番システムの側でも拒否する（受け側の拒否）
1日に作る記事の本数に上限を置く。上限に当たれば便は止まる
機械の検査に合格した記事だけが自動で公開され、公開後24時間以内に僕が必ず目を通す
権限ルールの形も書いておきます。僕のルールは、拒否が最も多く、次に確認、許可は最小です。「何をしてよいか」を列挙するより「何をしてはいけないか」を先に固めるほうが、無人で回す仕組みでは効きます。ルールの中身（対象のパスやコマンド名）は、守りの内側なので記事には書きません。
公式ドキュメント（2026年9月時点）によると、bypassPermissionsやautoモードの使用は設定で禁止でき、その設定を管理設定（組織の管理者が配る設定）に置くと、社員側のユーザー設定やプロジェクト設定では上書きできません。設定の優先順位も、管理設定が最上位で、コマンドラインの引数でも覆せないと明記されています。「社員には3段目を渡さない」を方針で終わらせず、機械で強制する手段がここです。
決めること2: 鍵と本番を切り離す。APIキーはAIが読む場所に置かない
「読み取り禁止ルール」と「保管場所の分離」の両建てにする
APIキー（外部サービスに接続するための鍵）やパスワードは、Claude Codeが読める場所に平文で置かない。これが2つ目の決めごとです。
上位の解説は「鍵のファイルを読み取り禁止に設定する」手順を書きます。それは1層目として正しい。公式ドキュメント（2026年9月時点）によると、特定のファイルへの読み取り拒否ルールは、同じファイルへの編集も塞ぎます。ただし公式は同時に、この拒否ルールが適用されるのはClaude Codeの組み込みのファイルツールとシェルで認識されるファイル操作コマンドまでで、スクリプトが間接的にファイルを開く場合には適用されない、とも書いています。ルールで読めなくすることと、そもそも読める場所に置かないことは別の層で、両方持つのが前提です。
僕の方針もこの両建てです。どのツールで守り、どこに保管しているかは、守りの内側なので書きません。守り方を公開しない、という決めごと自体を社内ルールに書くことをおすすめします。
本番の接続情報は「渡さない」から始める
本番のデータベースや決済など、業務の本体につながる接続情報は、Claude Codeに渡さないところから始めます。渡すのは検証用の環境の情報だけ、本番へは人の手順でしか届かない。この分離を先に決めておくと、社員に渡す段階で「本番に触れる社員は誰か」という問いが最初から消えます。
決めること3: 本番データと顧客情報に「読む・書く・消す」のどこまで触れさせるか
触れる範囲を「読む・書く・消す」の3つに分けて決める
「本番データに触れさせるか」を一括で決めると、答えは「全部ダメ」か「全部OK」になりがちです。読む・書く・消すに分けると決められます。
読む: 社内文書は可。本番データは検証用の複製まで。顧客情報は、読ませる必然がある業務に限る
書く: 作業フォルダの中だけ。公式の作業フォルダ境界（起動したフォルダとサブフォルダにのみ書き込める）をそのまま使う
消す: 既定では渡さない。消す操作は人が実行するか、消す前に退避する手順を挟む
受け側でも拒否する。ツールの設定は1層目にすぎない
僕の運用で最も効いているのは、Claude Code側の設定ではなく受け側の拒否です。公開済みの記事に自動処理が書き込もうとすると、記事を受け取る本番システムの側が断ります。Claude Codeの権限ルールにも同じ書き込みを止める設定はありますが、ツール側の設定は誰かが変えられます。受け側にも同じ拒否があると、ツールの設定が緩んでも事故になりません。
顧客情報も同じ発想です。業務の記録には顧客名や案件名が混ざります。僕が日報を自動生成している仕組みでは、記録の収集と保管は手元の決定的なコード（毎回同じ入力に同じ出力を返す処理）が行い、AIに渡すのは要約に必要な範囲に丸めた抜粋だけです。AIに全文を読ませなくても日報は書けます。
「二重に拒否する」と言うと大げさに聞こえますが、やっていることは単純です。ツールの設定を信じ切らず、受け取る側にも「これは受け付けない」を1つ置くだけ。設定を変えた日に守られなくなる、という事故の型を消したかったんですよね。
被害の範囲を「戻せるか・戻せないか」「社内か・社外か」で分けて、どこまで自動化するかを決める考え方は、次の記事に書いています。本記事はその考え方をClaude Codeという特定のツールの権限に当てはめたものです。
関連記事AI業務自動化のリスク対策と再発防止。事故らない設計5原則AI業務自動化のリスクの正体は権限の設計ミスです。被害範囲で権限を決める4象限と人間ゲート、事故らない設計5原則、再発防止策を個人の注意でなく仕組みに実装して自動化する3ステップまで実運用から公開します。決めること4: 作った社内ツールは公開しないを既定にする
Claude Codeを渡すと、社員が社内ツールを作れるようになります。ここで決めるのは「公開しない」を既定にすることです。作ったものの置き場は社内のハブ1か所に集約し、外に出すURLは専用ドメインに分離する。公開は「出る理由と置き場がセットで決まったもの」だけにします。検査の基準やルールのファイルなど「判定する側」は、AIに書き換えさせない凍結ノードとして明文化します。作る・公開する・やめるの統制5つは次の記事に書いたので、本記事では判断順の1項目として置くにとどめます。
関連記事バイブコーディングで作った社内ツール、業務に載せてよいかバイブコーディングで非エンジニアも社内ツールを作れる時代になりました。問題は「業務に載せてよいか」の判断基準です。AIで社内ツールを多数内製している僕が、作る・公開する・やめるの線引き5つを実物つきで解説します。決めること5: 事故のとき「止める・戻す」手順が誰の手元にあるか
上位の解説にも「止める・戻す」の一般手順まで書いたものはありますが、経営者が決めるべきは手順の中身より「所在」です。誰の手元にあり、どこにあり、人が寝ていても働くか。僕は止める・戻す・記録の3つに分けて持っています。
止める。機械が止める上限を先に置く
同じ仕組みが二重に走らないよう、実行中は目印を置き、重なれば止まる
1日に作る記事の本数に上限を置く。上限に当たれば止まる
使用量と費用の上限を計器で持ち、超えれば止まる（AIの運用コスト管理の記事に書いたハードストップと同じ考え方）
止める手段が「気づいた人が止める」だけだと、無人の時間帯に止まりません。機械が止める上限を先に置き、人が止める手順はその後ろに置きます。
戻す。書き換える前に戻す先を作る
公開済みの記事を改稿するときは、改稿前の版を退避してから書き換える、を規約にしています。退避が無いと機械の検査が通らない形にしてあるので、「退避を忘れた改稿」は仕組み上できません。戻す先を先に作る、が原則です。
記録。失敗の記録と没にした記録は消さない
失敗した便の記録も、検査で落ちた記事も消しません。没は学習データで、事故はチェック項目の材料です。事故が起きたら再発防止の項目に昇格させる運用はAI運用の再発防止の記事に書いています。
2026年9月5日の実記録。安全側の設定が無人便を止めかけた
止める話の最後に、逆向きの実記録を置きます。安全側の設定が業務を止めることがある、という話です。
2026年9月5日、僕の無人便で、サンドボックス（コマンドの実行範囲をOSの側で隔離する機能）の読み取り制限が、便の中の一部の操作を一律で「人の確認」に回しました。対話しながら使っていれば「はい」と答えるだけの確認ですが、無人便では確認が返らず、その操作は失敗しました。この便は、該当する操作をあらかじめファイルに書き出してから実行する方式に切り替えることで通しました。設定を緩めて通したのではなく、通し方を変えて通したのがポイントです。
安全側の設定は、業務を止める方向にも働く。だから社員に渡す前に、どこで止まるかを先に知っておく。止まる場所を知らずに渡すと、社員は「止まったから設定を緩める」を選びます。
「止まった→緩める」は事故の入口です。渡す前に経営者が自分で1業務を回して、止まる場所を体で知っておく理由がここにあります。
社員に渡す前の点検リスト。5つを決める順番
社員に配る前に、経営者本人が1つの業務で使い切る。何が止まり、何が聞かれるかを体で知る。Claude Codeの料金と法人導入の記事に書いた「配る・配らない・後で」の3分類の前提
触り始めの社員は「見るだけ」、業務で使う社員は「作業フォルダ内で直す」、無人の仕組みだけ「確認なしで回す」。3段目を人に渡さない方針を管理設定で強制する
鍵はAIが読む場所に平文で置かない。読み取り禁止ルールと保管場所の分離を両方持つ。本番の接続情報は渡さないから始める
作った社内ツールは公開しないを既定にし、置き場を社内のハブ1か所に集約する。公開は出る理由と置き場がセットで決まったものだけ
機械が止める上限、戻す先を先に作る規約、消さない記録。3つが誰の手元にあるかを決める。決まっていなければまだ渡さない
5つを決めたら、文書に落とします。ChatGPTの社内ルールの記事に書いたガイドラインの雛形は、Claude Code向けにも「渡す段」「触れる範囲」「止める所在」の3項目を足せば使えます。
Claude Codeのセキュリティのよくある質問
設定ファイルを開く前に、誰に3段のどれを渡すかを決めることです。決めた後の最初の設定は、鍵のファイルへの読み取り拒否ルールと、3段目のモードを禁止する管理設定の2つ。公式（2026年9月時点）の既定は読み取り専用・承認制なので、設定は「緩める操作」だと理解しておくと順番を間違えません。
公式ドキュメントと上位の解説に共通するリスクは3類型です。①機密ファイルが読まれて外部に送られる情報漏洩 ②プロンプトインジェクション（外部の文章に仕込まれた指示でAIの動きが操作される攻撃） ③本番のファイルやデータの誤った書き換え・削除。公式（2026年9月時点）はこれに対して権限システム、ネットワークを使うコマンドの承認、サンドボックス、削除の回路遮断器を組み込んでいます。経営者が足す層は「誰に何を渡すか」と「受け側の拒否」です。
必要です。ただし個人では5つのうち「鍵と本番の切り離し」と「止める・戻す手順」の2つが本体です。1人で使うと自分の確認だけが防波堤になるので、鍵を読める場所に置かないことと、書き換える前に戻す先を作る習慣が効きます。残りの3つは社員に渡す段階で加わります。
別物です。公式のセキュリティガイダンスプラグイン（2026年9月時点）は、Claude Codeが自分の書いたコードの脆弱性をセッション中に見つけて直す、開発者向けのコードレビュー機能です。本記事が扱うのは「使う側の権限設計」です。両方あるのが望ましく、自社でもコードの監査は別の仕組みで回していますが、社員に渡す前に決めるのは権限の側です。
経営者または導入責任者が、①渡す前 ②権限やルールの設定を変えた時 ③事故や「止まった」が起きた後、の3回です。公式（2026年9月時点）は設定変更をセッション中に検知して監査・ブロックする仕組みと、使用状況を監視する仕組みを用意しているので、②は機械化できます。入力内容が学習に使われるかは、公式のセキュリティページ（2026年9月時点）に、データトレーニングの設定はユーザーが制御でき、個人向けは自分のプライバシー設定、法人向け（Team・Enterprise・API）は商用利用規約に従う旨があるので、契約形態ごとに公式で確認してください。
まとめ。セキュリティ対策の数より「誰に何を渡すか」を先に決める
Claude Codeのセキュリティを、設定の羅列ではなく、社員に渡す前に決める5つの順番で整理しました。
決めること1: 公式の6つの許可モード（2026年9月時点）を3段に翻訳し、役割で渡す。3段目は人ではなく、隔離と受け側の拒否がある無人の仕組みにだけ
決めること2: 鍵はAIが読む場所に平文で置かない。読み取り禁止ルールと保管場所の分離を両方持つ
決めること3: 本番データと顧客情報は「読む・書く・消す」に分けて範囲を決める。ツール側の設定は1層目、受け側の拒否が2層目
決めること4: 作った社内ツールは公開しないを既定にする
決めること5: 止める・戻す・記録の3つが誰の手元にあるかを決めてから渡す。安全側の設定が業務を止めることも織り込む
設定は、これらを決めた後に機械へ強制する手段です。 順番を守れば、公式ドキュメントの設定手順はそのまま使えます。
自社の業務に当てはめた「誰に何を渡すか」の設計や、無人で回す仕組みの止める・戻す所在の点検は、AI顧問サービスの内容を確認のうえ、お問い合わせからご連絡ください。社員教育とセットで進める場合はAI研修の選び方 完全ガイドも参考にしてください。
本記事の5つを社内文書に落とす土台になる「社内AI利用ルール ガイドライン雛形」を無料で配布しています。「渡す段」「触れる範囲」「止める所在」の3項目を足せば、Claude Code向けのルール文書になります。事故をチェック項目に昇格させる運用にはAI運用 再発防止チェックシートも用意しています。
出典
許可モードの3段への翻訳、「社員に渡す前に決める5つ」の判断順、止める・戻す・記録の所在という整理は僕の発明で、根拠は自社でClaude Codeを無人の記事便・リサーチ便の母艦として運用している実物（権限ルールの形・無人便の運転方式・2026年9月5日の実記録）です。守りの内側（保管の具体・ルールの中身・パス）は意図して書いていません。許可モードの名称と説明、既定の動作、管理設定、警告文はAnthropic公式ドキュメントの記述（2026年9月6日・JST確認）に沿っており、更新されることがあるので導入前に公式で再確認してください。X（旧Twitter）の投稿は引用データとして参照したのみで、その主張を事実として断定していません。
Claude Code公式ドキュメント: セキュリティ（既定の読み取り専用・承認制／作業ディレクトリの境界／プロンプトインジェクション対策／データトレーニング設定／セキュリティガイダンスプラグイン／管理設定・監視・設定変更の監査）
Claude Code公式ドキュメント: 権限を設定する（許可モード6つ／bypassPermissionsの警告／禁止設定と管理設定／deny・ask・allowの評価順／読み取り拒否が編集も塞ぐ記述と適用範囲の注意／設定の優先順位／サンドボックスとの関係）
引用データとして参照したX投稿: @neofakkofu（2026年8月27日）／@yagiryuuu（2026年8月）／@ds_nakajima（2026年8月）
上位記事の網羅範囲の確認に参照したもの（リンクは省略）: 「Claude Code セキュリティ」「Claude Code セキュリティ設定 権限 会社 導入」「Claude Code 社内利用 セキュリティ 情報漏洩 対策」で上位に出る国内の法人向け解説記事5本。いずれも「リスク3類型→既定の安全装置→設定N個→チェックリスト・稟議テンプレ→FAQ」の構成で、本記事は上位に無い「誰にどの段を渡すか」「触れる範囲の分け方」「公開しない既定」「止める・戻す手順の所在」「自社で運用している実物」に絞りました
この記事が役に立ったらシェア
Related
