claudecodeのセキュリティ完全ガイド｜非エンジニアが業務で安全に使う設定と運用の全て

Claude Code（claudecode）を業務で使い始めるとき、いちばん多く聞かれるのがセキュリティの心配です。「入力した内容が学習に使われないか」「勝手にファイルを消されないか」「会社のデータをどこまで渡していいのか」。この不安には理由があります。Claude Codeは指示すると自分で手順を考えてパソコンを操作するAIで、便利さと引き換えに、渡した権限の分だけ影響も大きくなるからです。

一方で、対策は決して難しくありません。危ないのはAIそのものではなく、権限と情報を無自覚に渡す使い方です。裏を返せば、何を渡すかを自分で決められれば、非エンジニアでも安全に使えます。

この記事では、Claude Code活用研修を運営する立場から、学習させない設定の正確な手順、権限設定（settings.json）、サンドボックスによる隔離、渡していい情報の線引き、事故が起きたときの動き方までを1本にまとめます。設定が実際に効くのかどうかは、2026年7月15日に手元のMac（Claude Code 2.1.197）で1つずつ検証しました。読みながら順番に設定していけば、今日から土台が整う構成にしています。

01　なぜ対策が必要か：危ないのは「権限と情報を渡す行為」

Claude Codeのセキュリティリスクとは、AIが暴走する話ではなく、人間が渡した権限と情報がそのまま攻撃の入り口になる話です。結論から言うと、狙われやすいのは技術に詳しい人ではなく、対策を何もしていない初心者です。

攻撃する側は合理的に動きます。厳重に守られた環境より、無防備な環境を狙う方が簡単だからです。実際、海外のセキュリティ企業の担当者が2020年に公開した実験では、GitHub上にわざと公開したAPIキー（外部サービスを呼び出すための合鍵のような文字列）が、公開からわずか11分で悪用されました（出典は記事末尾）。「自分は詳しくないから狙われない」ではなく、詳しくない人ほど狙われるのが実態です。

ただし、過度に怖がる必要もありません。何のデータも権限もない空のパソコンでAIを動かしても、失うものはありません。リスクの大きさは、AIに渡した権限と情報の量で決まります。だからこの記事で扱う対策は、突き詰めると1つのことしかやっていません。渡すものを、自分の意思で最小限に絞ることです。

02　全体地図：3つの原則と、3層の守り方

Claude Codeのセキュリティ対策は、細かいテクニックの寄せ集めではなく、3つの原則と3層の構造で整理できます。先に全体地図を頭に入れておくと、この後の個別の設定が「どの層を作っているのか」で理解できます。

原則は次の3つです。

この3原則を実際の運用に落とすと、守りは「仕組みで止める・閉じ込める・人が判断する」の3層になります。

大事な前提を1つ書いておきます。「この設定だけしておけば大丈夫」という万能の答えは存在しません。全部禁止すれば仕事にならず、全部許可すれば危険です。リスクをゼロにする方法は使わないことしかない以上、どこまで許可してどこから止めるかのバランスを自分の業務に合わせて決めること自体が、Claude Code活用の実力になります。

03　まず今日やる基本設定：学習オプトアウト・起動フォルダ・連携の整理

最初にやるべき基本設定とは、専門知識がいらないのに効果が大きい3つの操作のことです。ここだけで、データの扱いと権限の入り口という2つの大きな不安が片づきます。

学習させない設定（オプトアウト）の正確な手順

Claudeに入力したデータが学習に使われるかどうかは、プランと設定で決まります。2025年8月28日の利用規約改定以降、無料・Pro・Maxの個人向けプランでは、設定がオンの場合にチャットとコーディングセッション（Claude Codeの作業内容を含む）が学習に使われます。

オフにする手順は次の通りです。

1. claude.ai（またはデスクトップアプリ）で画面左下の自分の名前から「設定」を開く
2. 「プライバシー」を選ぶ
3. 「AIモデルの改善にご協力ください」のトグルをオフにする

上の画像が実際の設定画面です。「AIモデルの改善にご協力ください」がオフ（白）になっていれば、学習利用は止まっています。すぐ上にある「ロケーションメタデータ」（大まかな位置情報の利用）も、業務利用なら合わせてオフにしておくとよいです。

この設定は無料プランを含む全ての個人向けプランで変更できます。「オプトアウトは有料プランだけ」という解説を見かけますが、誤りです。また、一部の古い記事には「有料プランなら学習されない」という改定前の情報が残っています。現在はProでもMaxでも、この設定がオンなら学習対象です。

設定によってデータの保持期間も変わります。学習利用を許可している場合は最長5年、オフにした場合は30日です（2026年7月時点・Anthropic公式ドキュメント）。なお、オフにしても例外が2つあります。安全性の仕組みに引っかかった会話は設定に関わらず確認対象になり得ることと、評価ボタンなどで自分から送ったフィードバックは最長5年保持されることです。

法人利用の場合は扱いが変わります。Team・Enterprise・API経由のデータは、契約上、デフォルトでは学習に使われません（自社で明示的にデータ提供を選んだ場合を除く）。会社としてまとまった量の業務データを扱うなら、この契約面の違いがプラン選びの判断材料になります。

起動フォルダを必ず選ぶ

Claude Codeが読み書きできる範囲は、どのフォルダで作業を始めるかでほぼ決まります。結論はシンプルで、プロジェクトごとに専用フォルダを作り、必ずその中で始めてください。

パソコン全体の親玉のような場所（ホームフォルダや書類フォルダの直下）で起動すると、その配下の全ファイルが読み書きの対象になります。「このファイルを消して」という指示をAIが広く解釈して、意図しない場所まで触ってしまう事故は、確認画面をよく読まずに承認していれば実際に起こり得ます。デスクトップアプリなら、新しいセッションを始めるときのフォルダ選択がそのまま権限の範囲です。「経理」「採用」「ブログ」のように業務ごとにフォルダを分けておくと、権限の範囲も情報の整理も同時に片づきます。

なお、作業フォルダの外にあるファイルも、読み取りだけなら実行できる場面があります。制限が強くかかるのは書き換えや削除で、読み取りまで完全に絞るには07章の隔離が必要です。ここは誤解が多いので覚えておいてください。

使っていない連携を切る

GmailやカレンダーなどをClaudeにつなぐ連携（コネクタ）は、使うときだけつなぎ、使い終わったら切るのが原則です。つなぎっぱなしは、利点がほぼないままリスクだけを増やします。

理由は09章で詳しく書きますが、AIが外部の文章を読む経路が増えるほど、その文章に仕込まれた攻撃を拾う可能性も増えるからです。実際に、メールを読む権限を持ったAIがメール内の隠し命令に従って情報を漏らす攻撃は、複数の製品で報告されています。月に1回しか使わない連携が常時つながっている状態は、今日見直してください。

04　権限設定の本丸：deny・ask・allowとsettings.json

Claude Codeの権限設定とは、操作を「禁止（deny）」「実行前に確認（ask）」「自動で許可（allow）」の3段階に振り分ける仕組みのことです。結論として、機密ファイルの読み取りと壊れると戻らない操作をdenyに入れておくだけで、うっかり事故の大半は仕組みで防げます。

ルールは settings.json という設定ファイルに書きます。置き場所は作業フォルダ内の .claude/settings.json です（ホーム側に置いて全プロジェクト共通にもできますが、まずはプロジェクトごとが管理しやすい構成です）。優先順位は deny が最強で、askとallowがそれに続きます。denyに入れた操作は、他の場所でallowと書かれていても止まります。

設計の考え方は3行で足ります。

• 読むだけの操作は allow（ただし機密ファイルは除く）
• 変更を加える操作は ask
• 壊れると戻らない操作・機密に触れる操作は deny

最小構成の例を載せます。下の枠内をそのままコピーして、作業フォルダ内の .claude/settings.json という名前で保存してください（自分の業務に合わせて足し引きして大丈夫です）。

{
  "permissions": {
    "deny": [
      "Read(//**/.env)",
      "Read(//**/.env.*)",
      "Read(//**/*.pem)",
      "Read(//**/*.key)",
      "Read(//**/id_rsa*)",
      "Read(//**/credentials*)",
      "Read(~/.ssh/**)",
      "Read(~/.aws/**)",
      "Bash(rm *)",
      "Bash(sudo *)",
      "Bash(chmod *)",
      "Bash(git reset --hard*)",
      "Bash(git push --force*)",
      "Bash(bash -c *)",
      "Bash(sh -c *)",
      "Bash(python -c *)",
      "Bash(python3 -c *)",
      "Bash(node -e *)"
    ],
    "ask": [
      "WebFetch",
      "Bash(git push*)",
      "Bash(mv *)",
      "Bash(cp *)"
    ],
    "allow": [
      "Bash(pwd)",
      "Bash(ls *)",
      "Bash(git status)",
      "Bash(git diff*)",
      "Bash(git log*)"
    ]
  }
}

自分でファイルを作るのが不安な場合は、この枠の中身をClaude Codeに貼って「この内容で .claude/settings.json を作って」と頼めば作ってくれます（作ったら04章末尾の拒否テストで確認まで済ませてください）。

なお、この settings.json はターミナル版とデスクトップアプリの両方に効きます。デスクトップアプリの場合も、新しいセッションで選んだ作業フォルダの中の .claude/settings.json が読まれる仕組みは同じです。デスクトップアプリには権限設定を一覧する画面が見当たらないので、いま自分にどんな設定が効いているか確かめたいときは、Claudeに「いま効いている権限設定（settings.json）を見せて」と頼むのが早いです。

denyの上半分は機密ファイルの読み取り禁止です。.env はAPIキーなどの秘密情報を置く定番のファイルで、パスを「//」から始めるとパソコン全体が対象になります。「Read(.env)」のように相対パスで書くと今のプロジェクトにしか効かず、別のフォルダにある .env が無防備のままになるので、機密系は「//**/」で書くのが安全です。下半分の「bash -c」「python -c」の並びは、禁止したコマンドを別の言語経由で言い換えて実行する抜け道を塞ぐルールで、コミュニティで定番になっている書き方です。

実際に効くのか、手で確かめた結果

設定ファイルは、書いただけでは安心できません。この記事の執筆にあたり、2026年7月15日に手元のMac（Claude Code 2.1.197）でテスト用フォルダを作り、ダミーのAPIキーを入れた .env を置いて検証しました。結果は次の通りです。

同時に、denyの性質もよく分かる出来事がありました。拒否された直後、AIは「権限設定を変更する」「ファイルを別の場所にコピーしてから読む」という回避策を自分から提案してきました。悪意ではなく、頼まれた仕事を完遂しようとするAIの性質です。denyは強制力のある壁ですが、壁の迂回路を人間に承認させようとする動きまでは止めません。よくわからない提案にOKを出せば、壁は意味を失います。

コメントを1行書くと、守りが全部消える

settings.jsonで特に注意してほしい罠があります。JSONという形式はコメント（メモ書き）を書けない決まりなのに、書いてもエラーが出ないことです。

検証中に、設定ファイルの先頭へ「// セキュリティ設定」というコメントを1行足してみました。すると警告もエラーも一切出ないまま全てのdenyが無効になり、直前まで拒否されていた .env の中身（ダミーのAPIキー）がそのまま表示されました。設定したつもりで守られていない状態が、静かに発生します。

対策は2つです。settings.jsonにはコメントを書かないことと、設定を変えたら毎回「.envを読んで」と頼んで拒否されるかを確かめることです。拒否テストまでが設定作業だと考えてください。

なお、「CLAUDE.mdに禁止事項を書いておく」という方法を目にすることがありますが、あれはAIへのお願いであって強制ではありません。書くこと自体に意味はあるものの、守られる保証はないので、確実に止めたいものは必ずdenyに書いてください。

05　見たら手を止める危険コマンド早見表

危険コマンド早見表とは、Claude Codeの確認画面に出たら手を止めるべきコマンドを、種類ごとに覚えるための一覧のことです。結論として、次の5種類が確認画面に見えたら、反射で承認せず一度手を止めてください。コマンドを全部理解する必要はなく、「どの種類の操作か」が分かれば足ります。

判断に迷ったときの基準は4つです。

• 取り消せる操作か
• 何かを消そうとしていないか
• 外部に送信しようとしていないか
• 上書きしようとしていないか

この4つのどれかに当てはまりそうなら、承認する前にClaude自身へ「このコマンドは何をするのか、日本語で説明して」と聞いてください。説明を読んでも腑に落ちなければ、承認しないのが正解です。

もう1つ、コマンドの名前を知らなくても使える判断基準があります。確認画面に「.env」という文字が見えたら、内容にかかわらず止まることです。秘密情報の置き場所に触れようとしている合図なので、これだけで多くの事故を防げます。

06　APIキーと.envの守り方

APIキーとは、外部サービスをプログラムから使うための合鍵にあたる文字列のことです。守り方の結論は3つのルールに集約されます。Gitに上げない、Claude Codeに読ませない、チャットに貼らない。この3つです。

APIキーが漏れると、他人の利用料金が自分に請求されます。01章で書いた通り、公開されたキーは11分で悪用された実験があるほど、狙う側の動きは速いです。3つのルールの理由を順に書きます。

1つ目、Gitに上げない。Gitはファイルの変更履歴を残す仕組みで、Claude Codeとの相性が良く、履歴がそのままバックアップになります。ただし履歴に一度入った秘密情報は消しにくく、公開設定を間違えれば世界中に見えます。.gitignore というファイルに .env と書いておけば、以後は自動で履歴の対象外になります。AIにGit操作を任せている場合でも、.env を含めようとしてくることがあるので、この1行は自分で確認してください。

2つ目、Claude Codeに読ませない。04章のdeny設定がこれです。読ませる必要がある場面はほぼありません。

3つ目、チャットに貼らない。会話ログは30日から5年の間サーバーに保持されます（03章の表の通り）。ログに残った秘密情報は、後から攻撃を受けたときの標的になります。AIから「APIキーを教えてくれれば設定します」と言われても、貼らずにファイルの置き場所だけ伝えるやり方に変えてください。

加えて、漏れても被害を限定する仕組みを先に作っておきます。APIの利用上限を設定できるサービスなら、上限を実際の利用額に近い金額にしておくことです。上限1,000円なら、キーが漏れても被害は最大1,000円で止まります。上限設定がないサービスでは、利用額のアラート通知を設定します。かけ捨ての保険と同じで、やらない理由がない対策です。

07　サンドボックスと隔離：設定で防げない部分を閉じ込める

サンドボックスとは、Claude Codeが実行するコマンドをOSレベルの壁の中に閉じ込める公式機能のことです。結論を先に言うと、denyルールが「うっかり事故を防ぐ壁」なのに対し、サンドボックスは「すり抜けを物理的に止める壁」で、両方を重ねるのが公式も推奨する多層防御です。

04章の検証で見た通り、denyは強力ですが、コマンドの言い換えや回避策の提案という形で限界があります。サンドボックスを有効にすると、次の制限がOS側でかかります。

• 書き込みできる場所が、作業フォルダと一時フォルダに制限される
• ネットワーク接続が、接続先（ドメイン）ごとの承認制になる

ターミナル版では /sandbox というコマンドで状態の確認と有効化ができます。設定ファイル（settings.json）に書いて常時有効にすることもできます。細かい項目は公式ドキュメントの「Sandboxing」のページが正確なので、導入時はそちらを確認してください。macOSとLinuxで利用でき、Windowsの場合はWSL2という仕組みの上で動かす形になります。

サンドボックスにも限界はあります。壁の外での実行を求められて承認すれば通ってしまいますし、外部ツール（MCP）は別の経路で動きます。そこで、さらに強い隔離が2段階あります。

1つは、パソコンの中に使い捨ての作業部屋を作る方法です（コンテナと呼ばれます。代表的な道具がDocker）。仕組みを理解する必要はなく、「怖い作業はいつもの場所でやらない」という原則を実現する道具だと捉えれば十分です。部屋ごと捨てれば何が起きても終わりで、作り方自体はClaude Codeに頼めば設定ファイルから用意してくれます。

もう1つは、クラウド上の開発環境（GitHub Codespacesなど）で動かす方法です。ブラウザの中に自分のパソコンと完全に切り離された環境が立ち上がるので、手元のファイルには物理的に触れません。軽い用途なら無料枠に収まり、チームで環境を揃えられる利点もあります。初めて触る種類の作業や、外部から持ち込んだファイルの検証など、リスクの読めない作業から順にこうした隔離環境へ移すのが現実的な進め方です。

08　渡していい情報・ダメな情報：業務データの線引き

情報の線引きとは、Claude Codeに貼ってよいデータと貼ってはいけないデータを、業務の単位で事前に決めておくことです。大原則を先に言います。貼った瞬間、そのデータは社外のサーバーに送られています。手元のアプリで完結しているように見えても、AIの処理は外部で行われるからです。

この前提に立つと、判断基準は1つに絞れます。外部にすでに出ている情報なら送ってかまいません。そうでないなら、送る前に立ち止まって確認してください。具体例を業務の単位で整理します。

個人情報のマスク化（実名をダミーに置き換える作業）には、1つ落とし穴があります。「この顧客リストをマスクして」と生データごとAIに渡してしまうと、マスクする前に情報が外に出ており、本末転倒です。置き換えは、表計算ソフトの置換機能や手元で動くプログラムなど、外部に送らない方法で済ませてから渡してください。

税理士・社労士など士業の方は、顧問先のデータという他人の機密を預かる立場なので、線引きはさらに一段厳しくなります。判断の考え方と顧問先への説明のしかたは、税理士向けのAI活用ガイドで詳しく書いています。事務所としての導入を検討している場合は、税理士向けの案内ページも参考にしてください。

なお「あれもダメ、これもダメ」と禁止を増やすだけでは、AIを使う意味が薄れていきます。実務のコツは逆で、置き換えれば渡せるデータを増やすことです。名前をダミーにした顧客リスト、金額の桁だけ丸めた売上表など、ひと手間で使えるデータは意外に多くあります。

09　MCP・外部ツールの入れ方：実在の事件から学ぶ

MCP（Model Context Protocol）とは、Claudeと外部サービスをつなぐための共通規格のことです。便利な拡張の入り口ですが、結論として、外部との接続が増えるほどプロンプトインジェクションという攻撃を受ける面積も増えます。入れる前のチェックを習慣にしてください。

プロンプトインジェクションは、AIが読む文章の中に攻撃者の命令を仕込み、ユーザーの指示と誤認させる攻撃です。Webページ、メール、説明ファイルなど、AIが読むものすべてが仕込み先になり得ます。実際に起きた事件を3つ挙げます。いずれも2025年に公表された、出典を確認できる実例です。

1つ目は、Claude Code自体で見つかった脆弱性です（CVE-2025-55284）。仕込まれた命令が、通信の安全確認に使われる一見無害なコマンドのドメイン名部分に機密データを埋め込み、通常の問い合わせを装って外部へ流出させられるものでした。発見者の報告を受けて2025年6月のバージョン1.0.4で修正されています。「安全に見えるコマンドも出口になり得る」ことと「本体を最新に保つ」ことの両方を教えてくれる事例です。

2つ目は、偽物の拡張ツールの事件です。2025年9月、npmという配布サイトで公開されていたメール送信用MCP「postmark-mcp」に、送信する全メールを攻撃者へ隠し転送する1行が仕込まれていたことをセキュリティ企業が発見しました。このパッケージは途中のバージョンまで正常に動作しており、便利に使えることと安全であることが別問題だと示しました。

3つ目は、AIそのものを騙した攻撃です。2025年11月、AnthropicはClaude Codeを悪用した大規模なスパイ活動（GTG-1002）を検知・公表しました。攻撃者は「正当なセキュリティ企業の防御テストだ」とAIを騙して作業を細分化させ、世界約30組織への侵入を試みています。もっともらしい文脈で頼めばAIは動いてしまう、という性質は、あなたのAIが外部の文章を読むときにも同じように働きます。

こうした事件を踏まえた、導入前チェックは4つです。

1. 誰が作ったか。公式や身元の明らかな開発元以外は入れない
2. どんな権限で何をするか。Claudeに説明させて、業務に必要な範囲か確かめる
3. コードが公開されているか。中身を検証できないものは入れない
4. 本当に必要か。使わないものは入れない（03章の「つなぎっぱなしを切る」と同じ発想）

なお、自分の業務用にMCPやスキルを自作するのは、既製品を入れるよりむしろ安全側の選択です。中身を全部把握できるからです。作る過程も含めて、Claude Codeでできることの全体像とあわせて考えてみてください。

10　会社・事務所として使うときの運用ルール

組織でのセキュリティとは、個人の設定を全員分揃えることではなく、「誰が・何を・どこまで」を仕組みとして決めることです。結論として、ガイドラインの文書化と、設定ファイルの共有という仕組み化をセットでやってください。文書だけでは守られず、仕組みだけでは判断力が育たないからです。

最低限決めるべき項目は5つです。

• 使ってよいプラン・アカウント（個人アカウントでの業務利用を認めるか）
• 学習オプトアウトを全員必須にするか（個人向けプランを使うなら必須推奨）
• 渡してよいデータの線引き（08章の表を自社の業務に合わせて作り直す）
• 権限設定の標準（04章のsettings.jsonを会社の標準として配る）
• 事故が起きたときの報告先と初動（11章）

このうち権限設定は、仕組みで配れます。プロジェクトの .claude/settings.json はGitで共有できるので、顧客データのフォルダを読み取り禁止にするといったルールをチーム全員に同じ形で効かせられます。denyはどの階層のallowでも打ち消せないという性質が、共有ルールの土台として使えます。

もう1つ、組織で効くのは「作る人と確かめる人を分ける」運用です。AIが作ったものをそのまま信じないというゼロトラストの原則を、役割分担として仕組みにします。この考え方はヒューマンインザループの記事で詳しく書いているので、運用設計の段階で読んでみてください。

11　事故が起きたときの動き方

インシデント対応とは、事故をゼロにする話ではなく、起きたときに被害を最小で止める段取りのことです。結論として、最優先の動きは1つしかありません。漏れた（かもしれない）鍵を無効化することです。

APIキーの場合、手順は2つで終わります。そのキーを無効化または削除して、新しいキーを発行するだけです。これで古いキーは使えなくなり、被害の拡大は止まります。この手順を知っているかどうかで、事故当日の落ち着きがまったく変わります。迷ったら止める、が正解です。

パスワードやログイン情報が漏れた可能性がある場合も同じ発想で、該当サービスのパスワード変更とログインセッションの無効化を先にやります。原因の調査は、止血の後です。

予防側の仕組みも再掲しておきます。

• 利用上限とアラート（06章）で、被害額の天井を先に決めておく
• Gitでこまめに履歴を残し、ファイルを壊された場合に戻せるようにしておく
• 組織なら、事故の報告先を決めておく

とくに報告のルールは大事です。事故の一報が遅れる最大の理由は「怒られそうだから」なので、報告した人を責めないルールまで含めて決めておくと、初動が速くなります。

12　まとめ：完璧な設定より、育てられる運用を

最後に、この記事の全体を4行に圧縮します。

• 危ないのはAIではなく、権限と情報を無自覚に渡す行為
• 今日やるのは3つ。学習オプトアウト、専用フォルダでの起動、使わない連携の切断
• 止める仕組みは2つ。settings.jsonのdenyと、サンドボックスによる隔離。設定したら拒否テストで確かめる
• 最後は人の判断。わからない承認は押さない、渡す情報は自分で選ぶ

セキュリティは一度設定して終わりではなく、業務でできることを増やしながら、許可と禁止の線引きを調整し続ける運用です。まだClaude Codeを入れていない方は、導入手順の記事から始めて、この記事の03章に戻ってきてください。

クロトレでは、経営者・非エンジニアの方がClaude Codeを業務で安全に使いこなすための研修と個別サポートを行っています。自社のデータをどこまで扱ってよいか、社内ルールをどう作るかといった、この記事の先にある自社固有の設計から伴走します。詳しくは経営者向けの案内ページをご覧ください。

参考（一次情報・公式ドキュメント）

• Anthropic：コンシューマー向け利用規約の更新（2025年8月28日）
• Anthropicプライバシーセンター：データはモデル学習に使われますか
• Claude Code公式ドキュメント：データの利用
• Claude Code公式ドキュメント：権限設定
• Claude Code公式ドキュメント：サンドボックス
• 公開したAPIキーが11分で悪用された実験（dev.to・2020年）
• CVE-2025-55284 発見者による報告（Embrace The Red）
• postmark-mcp事件の第一報（Koi Security）
• Anthropic：AI主導のサイバースパイ活動の検知と対応（GTG-1002）