Claude Codeは、Anthropicが出しているAIのコーディングの道具だ。ターミナルやエディタの中で動き、リポジトリのファイルを読み、書き換え、コマンドを実行する。チャットのAIとの違いは、答えを返すだけでなく、開発者のパソコンの上で手を動かすことにある。
だから企業で使うときに確かめることは、チャットのAIより一つ増える。どのデータが外に出て、どう保存されるかに加えて、AIに何をどこまで実行させるか、を決める必要がある。この記事は、2026年10月23日時点のClaude Codeの公式文書（Security、Data usage、Permissions、Sandboxing、Settings、Monitoring）を読み、企業が導入の前に決めることを整理する。Claudeのチャットを法人で使うときのデータの扱いはClaudeのセキュリティに、AIが現場で手を動かす職種としてのFDEはFDEとは？Forward Deployed Engineerの意味と仕事内容に書いた。
Claude Codeで企業が確かめる4つのこと
私の見方では、確かめることは4つの層に分けると漏れにくい。
| 層 | 確かめること | 公式文書の主な仕組み |
|---|---|---|
| データ | コードが学習に使われるか、どこにどれだけ保存されるか | 契約ごとの学習の扱い、保存期間、通信の暗号化 |
| 実行 | AIに何を確認なしで実行させるか | 権限のモード、許可・確認・拒否のルール |
| 隔離 | 実行したコマンドが、どのファイルと通信先に届くか | サンドボックス、開発用のコンテナ |
| 管理 | 組織の決めごとを、全員の端末にどう効かせ、どう見るか | 管理者が配る設定、ログインの制限、OpenTelemetry |
データの層はチャットのAIと同じ考え方で決められる。実行と隔離の層は、Claude Codeのように手を動かす道具に特有だ。管理の層がないと、上の三つを決めても一人ひとりの端末で守られているかが分からない。
データの扱い：学習と保存期間
学習に使われるか
公式文書は、契約によって扱いを分けている。Team・Enterprise・API、サードパーティのクラウド経由など商用の規約で使う場合、Anthropicは、Claude Codeに送られたコードやプロンプトを生成モデルの学習に使わない。例外は、顧客がDevelopment Partner Programのように自分から提供を選んだ場合だ。
Free・Pro・Maxの個人向けの契約では、学習にデータを使うかを利用者が選ぶ。設定がオンなら、そのアカウントでClaude Codeを使ったときのデータも学習に使われる。社員が個人で契約したProやMaxで業務のコードを扱うと、会社の決めごとと関係なく、本人の設定次第になる。
どこにどれだけ残るか
| データ | 保存期間（公式文書） |
|---|---|
| 商用の契約で送ったデータ | 標準で30日。Claude for Enterpriseの対象の組織は、ゼロデータ保持（ZDR）を個別に有効にできる |
| 個人向けの契約で、学習を許可した場合 | 5年 |
| 個人向けの契約で、学習を許可しない場合 | 30日 |
/feedbackで送った会話の記録 | 5年 |
| 端末の中の会話の記録 | ~/.claude/projects/に平文で、既定で30日。cleanupPeriodDaysで変えられる |
見落としやすいのは最後の行だ。端末の中には、会話の記録が平文で残る。会話にはコードや、読み込んだファイルの中身が入る。私の見方では、端末の暗号化と、記録を残す期間の設定は、導入のときに一緒に決めておく方がよい。
通信は、TLS 1.2以上で暗号化されてAnthropicに送られる。Amazon Bedrock、Google Cloud、Microsoft Foundry経由で使う場合は、利用状況の送信や不具合の報告が既定で無効になる、と公式文書は書いている。クラウドの契約やデータの置き場所をすでに決めている会社は、そのクラウド経由で使う方が社内の決めごとに乗せやすい。
権限：何を確認なしで実行させるか
権限のモード
Claude Codeは、権限のモードで、利用者に確認せずに実行できる範囲を変える。公式文書のSecurityのページは、ターミナルとVS Codeで対話的に使うときの最初のモードをAuto modeとしている。
| モード | 動き方（公式文書） |
|---|---|
| Auto mode | 別の分類モデルが、利用者の代わりに操作を見て、危ないと判断したものを止める。利用者が書いた確認・拒否のルールは引き続き効く |
| 手動のモード | 読み取りだけの権限で始まり、ファイルの編集、テスト、コマンドの実行の前に利用者に確認する |
| Accept Edits | 作業フォルダの中のファイルの編集と、決まったファイル操作のコマンドを確認なしで実行する |
bypassPermissions | 一部の例外を除いて確認を飛ばす。公式文書は、隔離した環境でだけ使うよう書いている |
組織は、permissions.disableBypassPermissionsModeやpermissions.disableAutoModeを"disable"にして、確認を飛ばすモードやAuto modeを使えなくできる。公式文書は、これらは管理者が配る設定に入れると上書きされない、と書いている。
ルールで細かく決める
モードとは別に、ツールやコマンドごとに許可・確認・拒否のルールを書ける。ルールは拒否、確認、許可の順に評価され、最初に当たったものが結果になる。たとえばRead(./.env)を拒否に入れると、.envのファイルを読ませないようにできる。
ただし公式文書は、Bashのルールはコマンドの書き方に当てはめるもので、同じプログラムを別の形で呼ぶと当たらない、とも書いている。curlを拒否のルールに入れても、それだけでは通信を止める壁にならない。コマンドの書き方に頼らず通信を止めたいなら、次のサンドボックスと組み合わせる。
サンドボックスで実行の範囲を閉じる
Claude Codeには、シェルのコマンドの届く範囲をOSの機能で制限するサンドボックスがある。公式文書によると、サンドボックスは既定ではオフで、/sandboxのコマンドか設定で有効にする。macOS、Linux、WSL2で動き、Windowsでそのまま使うとコマンドはサンドボックスの外で動く。
| 範囲 | サンドボックスの既定（公式文書） |
|---|---|
| 書き込み | 作業フォルダ、利用者ごとの一時フォルダ、追加したフォルダ |
| 読み取り | 端末のほとんど。~/.sshや~/.aws/credentialsのような認証情報のファイルも含む |
| 通信 | 直接は外に出られず、端末の中のプロキシが許可したドメインだけを通す。許可のリストは空から始まる |
| 環境変数 | Claude Codeから引き継ぐ。環境変数に入れた秘密の値も含む |
表の2行目と4行目は、そのままでは守られない。読み取りは既定で広く開いているので、認証情報のファイルはfilesystem.denyReadなどで閉じる設定が要る。
もう一つ、サンドボックスが包むのはシェルのコマンドだけだ。ファイルを読み書きする組み込みのツール、MCPのサーバー、フックは、サンドボックスの外で動く。これらは権限のルールで決める。全体をまとめて隔離したいなら、公式文書が勧めているように、Claude Code自体を開発用のコンテナや仮想マシンの中で動かす。
MCPと外から入る内容への備え
Claude Codeは、MCP（Model Context Protocol）のサーバーにつないで、社内のツールや外のサービスを使える。公式文書は、自分で書いたMCPサーバーか、信頼できる提供元のサーバーを使うよう勧めている。Anthropicは、Anthropic Directoryに載せるコネクタを掲載の基準で審査するが、MCPサーバーのセキュリティの監査や管理はしない、とも書いている。
リポジトリの.mcp.jsonに書いたサーバーには、使う前に承認の確認が出る。ただしプラグインや、リポジトリの外の設定からもサーバーは追加できるので、.mcp.jsonを見ただけでは、使われうるサーバーが全部は分からない。組織で使ってよいサーバーを絞るには、管理者が配る設定でMCPの構成を決める。MCPの仕組みはMCPとはに、入れる前に確かめることはMCPのセキュリティにまとめた。
もう一つの入口は、AIが読む外の内容だ。Webのページ、Issueの本文、依存しているライブラリのREADMEに、AIへの指示を紛れ込ませる攻撃がある。公式文書は、信頼できない内容をClaudeに直接流し込まないこと、重要なファイルへの変更を確かめること、外のWebサービスとやり取りするときは仮想マシンの中で動かすことを勧めている。攻撃の仕組みはプロンプトインジェクションとはに書いた。
組織で配る設定と、使われ方の見え方
一人ひとりが設定を決めると、守られているかが分からない。Claude Codeには、組織が配る設定（managed settings）がある。公式文書によると、配り方はclaude.aiの管理画面から配る方法、MDMなどOSの仕組みで配る方法、端末の決まった場所にmanaged-settings.jsonを置く方法がある。組織が配った設定は優先順位がいちばん高く、利用者が自分の設定ファイルで上書きできない。
管理者が配る設定に入れる候補を、公式文書の仕組みから並べるとこうなる。
| 決めること | 公式文書の仕組み |
|---|---|
| 確認を飛ばすモードを禁じる | permissions.disableBypassPermissionsMode |
| 読ませないファイルを決める | Read(./.env)のような拒否のルール |
| 会社のアカウントでしかログインさせない | forceLoginOrgUUIDでログインできる組織を指定する |
| 使ってよいMCPサーバーを絞る | 管理者が配るMCPの構成 |
| 利用状況を集める | OpenTelemetry（CLAUDE_CODE_ENABLE_TELEMETRY） |
使われ方は、OpenTelemetryで自社の監視の仕組みに送れる。公式文書によると、利用量、費用、ツールの使われ方を、メトリクスとイベントとして出せる。プロンプトの本文は既定では記録されず、OTEL_LOG_USER_PROMPTSを有効にしたときだけ入る。私の見方では、最初は利用量とツールの使われ方だけを集め、プロンプトの本文まで残すかは、監査で何を確かめたいかが決まってから判断する方がよい。AIの操作のログに何を残すかの考え方はAIエージェントのガバナンスに書いた。
導入の前に決めることの一覧
ここまでを、導入の前に決めることとしてまとめる。項目の選び方は私の見方による整理だ。
| # | 決めること | 決める人の目安 |
|---|---|---|
| 1 | どの契約で使うか。個人のProやMaxでの業務利用を認めるか | 情報システム、法務 |
| 2 | 既定の権限のモードと、禁じるモード | 情報システム、開発の責任者 |
| 3 | 読ませないファイル（.env、認証情報）と、確認なしで許すコマンド | 開発の責任者 |
| 4 | サンドボックスを使うか。通信を許すドメイン | 情報システム、開発の責任者 |
| 5 | 使ってよいMCPサーバー | 情報システム |
| 6 | 端末の記録を残す期間と、端末の暗号化 | 情報システム |
| 7 | OpenTelemetryで何を集め、誰が見るか | 情報システム、監査 |
1から7を管理者が配る設定と社内の利用ルールに書き、配る。社内の利用ルール全体の作り方は生成AIの社内利用規程の作り方に、AIエージェント全般の権限の考え方はAIエージェントの権限設計とプロンプトインジェクション対策に書いた。
公式文書の仕組みは、版が上がるたびに増え、名前も変わる。導入のときは、ここに書いた名前を手がかりに、その時点の公式文書を確かめてほしい。社内でAIの道具がどう使われ、どう設定されているかを外から確かめたい場合の、私たちのAI利用セキュリティ診断の中身はサービスのページに書いた。