MCPは、つないだ瞬間がいちばん怖い。Claudeのコネクタを社内で使う管理者が「読み取りだけ許可」できず、5つに絞った話
「ClaudeにMCPをつなげば、社内のツールを横断して仕事ができる」「でも、AIに社内のデータを触らせるのは危ない」
どちらも、よく聞く話です。私も、両方とも本当だと思っています。
今年の5月、私はClaudeにいくつかのツールをつないで試していました。HubSpot、Gmail、Googleドライブ、Slack。
たしかに便利でした。そして、試している間に、ドライブのファイルを1つ消しています。
そのあと管理画面を開いて、もう1つ困ったことに気づきました。「読み取りだけ許可する」という設定が、管理者の側にないのです。
今回は、中小企業でClaudeのコネクタ（MCP）を社内に広げる立場の私が、つないだ瞬間に何を怖いと思い、どう絞ったのかを、お届けしたいと思います。
※この連載の全体像はこちらにまとめています → 中小企業のAI推進、この1年で何が起きたか。連載全27本の目次
この記事は、前回の続きです。
前回の要点だけ先に書いておきます。
社内で生まれた善意のAIツールに、3回待ったをかけた
3回とも、止める根拠になる社内のルールはなかった
「プロダクトに関わる自作ツールは基本NG」だけが残った
今回は、止める側だった私が、自分でAIをつなぐ側に回った話です。
この記事に書いてあること
MCPをつないで便利になったことと、ドライブで起きたこと
管理者の側で「読み取りだけ許可」ができなかった話と、英語の承認ダイアログ
コネクタを5つに絞った、いまの運用
こんな方に向けて書いています
ClaudeのMCPやコネクタを、社内で使わせるかどうか迷っている管理者の方
承認ダイアログが出るたびに、OKを押していいのか迷っている方
記事の後半に、承認ダイアログが出たときに私が見ている3つのことを載せています。
結論：MCPはつながないと意味がない。でも「読み取りだけ許可」ができなかったので、5つに絞った
MCPは、Claudeと社内のツールをつなぐ仕組みです。Claudeの画面では「コネクタ」と呼ばれています。
つなぐと、ツールを行き来しなくてよくなります。つながないと、Claudeは会話の中の情報しか使えません。
ただ、つないだ瞬間から、Claudeはそのツールのデータを読めるようになります。ツールによっては、書き込みも、削除もできるようになります。
便利になるのと、怖くなるのは、同じ瞬間でした。
管理者としては、「読み取りだけならいい」と言いたかったのです。でも、その設定は管理者の側にありませんでした。
そこで7月に、つないでいいツールを5つに絞りました。
読み取りは許可、書き込みと削除は毎回確認。9月の今も、この運用が続いています。
5月：つないでみたら、ツールを開かなくてよくなった
最初は、ただの実験でした。
Claudeだけで使っていると、不便なところがある。そこで、いくつかのツールをMCPでつないでみました。
HubSpotの中のデータを読ませて、レポートを作らせる。Gmailにつないで、メールの下書きを書かせる。
5月22日のプロジェクトの会議で、私はこう報告しています。
わざわざ他ツールを開かなくても、作業ができるので、切り替えこそないっていうふうに感じたけど
画面を切り替えないので、頭を切り替えなくていい。
1つの画面で、目の前の作業にだけ集中できる。これが、一番大きな変化でした。
いまは議事録づくりも、同じ仕組みで回っています。
毎日18時にClaudeが文字起こしを読んで、ドライブに保存して、Slackに配る。その話はAI議事録の自動化、止まったのは人のほうでしたに書きました。
MCPは、つながないと意味がありません。つながないClaudeは、会話の中のことしか知らないからです。
5月：ドライブの整理を任せたら、上書きして消えた
便利さを試している途中で、私はファイルを1つ消しています。
Googleドライブの整理を、Claudeに任せたときです。ファイルを整理させたら、上書きが起きて、元のファイルが削除されていました。
試していたのは、重要な情報を置いていない場所でした。影響は小さく、ファイルも復旧できています。
それでも、同じ会議で、私はこう話しています。
任せおまかせおまかせってボタンをどんどん行くと、情報が実は削除されて、ましたことでしたっていうようなところがあるので、そこもちょっと怖いなと思っている
確認の画面が出るたびに、深く読まずにOKを押していく。気づいたときには、消えている。
自分が押したOKで消えたので、誰のせいにもできませんでした。
企画部の責任者は「手動なら、これは絶対書けないと分かる」と言った
私の報告を受けて、企画部の責任者が、別の角度の怖さを話しました。
たとえば、MCPでお客様の情報を探させる。
Claudeはメールやファイルを全部探して、会社名で検索をかける。その検索が、外に出てしまうことがある、という話です。
インターネット検索してるこれは絶対書けないとかお客さん会社名とか個人名とかね、これは絶対書けないなとわかって行動するのでそういうことは起きないと思うんだけど
いやもうそういうのわからないのでやっちゃいますね。
人は、書いてはいけないことを、書く前に分かっている。AIは、それが分からないまま、やってしまう。
続けて、こうも言っています。
たまにはAIも不守らない。ときもあるのでそこだけちょっとMCPやる前にそこをちゃんと調べた方がいいっすね。
私のドライブの件は「上書き」でした。企画部の責任者の心配は「外に出す」でした。
どちらも、人が手でやっていれば起きなかったことです。
6月：管理画面を開いたら「読み取りだけ許可」がなかった
6月、私たちはClaudeのチームプランを使い始めていました。私は管理者として、管理画面を一通り見ています。
そこで分かったのが、「制御できる範囲」と「制御できない範囲」があることでした。
誰でもMCP使えちゃうんですね。そうですねはいはいそれを企業として許可を出せば、この人だけ駄目でとか、この人だけいいよみたいな細かいところができなくてそのMCP側のその許諾のチェックに関しても、読み取りだけOKですよ、書き込みNGですよっていう。
会社として許可を出すと、全員が使える。この人だけ、という指定ができない。
そして、「読み取りはいいけれど、書き込みはだめ」という線も、管理者の側では引けませんでした。
管理者が一番引きたかった線は、「読み取りまではいい」でした。その線が、管理画面にありませんでした。
書き込みや削除を許すかどうかは、使う人がその場で、承認ダイアログで決めることになります。
ここで、次の問題が出てきます。
承認ダイアログは英語で、OKを押す指が迷う
Claudeがツールを操作しようとすると、「この操作を許可しますか」という確認の画面が出ます。これが、英語なのです。
同じ会議で、私はこう言っています。
後で来るんですねそういう英語でIきますね私何書いてるかわかんないから許可するどうするっていう判断結構迷うときがあるので
推進役の私でも、迷います。書き込みなのか、削除なのか、英語の一行で判断しないといけない。
少しあとで、こうも話しています。
なんかこう、ぐっとやったときに英語出てて、なんかOKしたら全部消えちゃったみたいなところの挙動怖いなっていう感じですね。
5月のドライブの件は、まさにこれでした。管理者の側で線が引けないなら、線を引くのは、英語のダイアログを前にした一人ひとりになります。
6月：Slackで聞いたら、Claudeが自分からドライブにつなごうとした
同じ6月26日、会議のあとに、もう1つ出来事がありました。
私たちはこの頃、SlackでClaudeを呼び出せるようにして、試していました。プロジェクトのチャンネルで、私はClaudeにこう聞いています。
あなたはどこまで確認できるの？ 私のGoogleドライブに入っているデータとかまで見に行けるの？
Claudeの最初の答えは、ドライブの中身を勝手に見に行くことはできない、というものでした。
すると、情報システムの担当が、ドライブは接続の設定があるので行けるはずだ、と書き込みます。Claudeは、それを受けて、実際につなごうとしました。
実際に繋がるか確かめようとして、このセッションからGoogleドライブ/Docsへ接続を試そうとしたのですが、安全側の権限チェックでブロックされました
止まったのは、仕組みの側の安全チェックでした。私が指示していないのに、ドライブを探りに行く動きだと判定されたそうです。
結果は安全でした。でも私は、行けるはずだという一言で、Claudeが自分から動いたことのほうに、ひやりとしました。
情報システムの担当は「AIだけ神経質になっても本質的じゃない」と言った
ここまで読むと、「全部止めればいい」と思われるかもしれません。私も、半分はそう思っていました。
でも、6月26日の会議で、情報システムの担当はこう返しています。
例えば私達のGoogleドライブのデータって、人がやるとして、全部のデータを引っこ抜いて、誰かに渡すっていう悪意のある場合ですけどこれをしたとしても、あの検知できないし
このAIのMCPの部分だけにスポットを当ててそれやってもあんまり本質的じゃないなって思うので今と一緒で、その教育で何とかするしかないルールで決めてこういうふうにやってくださいね。
人が悪意を持てば、ドライブのデータは今でも持ち出せる。それは検知できない。
だから、AIのところだけ厳しくしても意味がない。ルールを決めて、教えて、分かって使ってもらうしかない、という考えです。
5月の時点で、この担当はSlackにこうも書いていました。
Claude等の検証でMCPに限らず、AIツールとデータを繋げるのであれば、基本的に"最小権限・人の介入"を行動指針にしていればよいです
最小限の権限で、人が間に入る。7月の運用は、この一行をそのまま形にしたものになりました。
7月：コネクタを5つに絞り、書き込みと削除は毎回確認にした
7月3日、部門横断のワーキンググループ（10人ほどのAI活用の場）で、コネクタの使い方を説明しました。
仕事で使って生産性が上がりそうなものを、先に選んでおきました。
上の五つ。基本繋げてちょっと試してみてもらえたらと思っているところになります。
決めたのは、次のとおりです。
つないでいいのは5つだけ … Gmail、Googleカレンダー、Googleドライブ、HubSpot、Slack
それ以外のコネクタは、いったんつながない
読み取りの操作は、許可してよい
書き込みと削除の操作は、毎回確認する設定にする
管理者の側で「読み取りだけ」の線が引けないので、使う人の側の設定で、同じ線を引いてもらう形です。
設定の手順は1枚の文書にまとめて、どれをオンにして、どれを「確認付き」にするかを書きました。英語の画面の読み方も、そこに入れています。
基本読み取りツールって書いてあるものに関しては、許可して大丈夫だよ書き込みとか削除って書いてあるツールに関しては、
9月の今も、この運用はそのまま続いています。5月のドライブの件のようなことは、その後は起きていません。
承認ダイアログが出たら、私が見ている3つのこと
最後に、英語の承認ダイアログが出たときに、私が見ていることを書いておきます。社内の手順書をもとに、私が短くまとめたものです。
何をしようとしているか … 読む操作（read、get、list、search）なら許可。書く・変える・消す操作（create、update、write、delete、send）なら、手を止めて中身を読む
どのツールか … 5つ以外のツールの名前が出たら、押さない
どこで試しているか … 書き込みや削除を試すときは、消えても困らない場所でやる
3つ目は、5月の私がやっていたことでした。重要な情報を置いていない場所で試していたから、復旧できました。
怖さはなくなりません。でも、消えても困らない場所で試すことだけは、最初から決めておけます。
ここで一つ、反対側の見方も置いておきます
ここまで「絞った」話をしてきましたが、5つに絞ったのは慎重すぎた、という見方もあります。
情報システムの担当が言うとおり、人の手でも同じ事故は起きます。AIだけを厳しくすると、便利さのほうを先に削ることになります。
実際、5つ以外にも、仕事で役に立ちそうなコネクタはあります。絞ったせいで、試す前に諦めた人もいたかもしれません。
一方で、「読み取りだけ許可」ができない以上、管理者にできることは多くありません。
数を絞るか、使う人に任せるか。そのどちらかです。
私たちは、両方を少しずつ選びました。
数を絞って、残りは教育で任せる。これが正解かどうかは、まだ分かりません。
まとめ：さて、あなたの会社では、どこで線を引いていますか？
3行にまとめます。
MCPは、つないで初めて便利になり、つないだ瞬間から怖くなりました。
管理者の側では「読み取りだけ許可」ができず、承認ダイアログは英語でした。
そこで、つなぐツールを5つに絞り、書き込みと削除は毎回確認にしました。
前回の記事で、私は根拠のないまま善意のツールを止めた話を書きました。今回は、止める根拠を、せめて設定の形で残そうとした話です。
皆さんの会社では、AIが社内のデータに触れるとき、どこで線を引いていますか。
あとがき
この記事を書くために、6月26日のSlackのやり取りを読み返しました。
勝手には見に行けないと答えたClaudeが、行けるはずだという一言で、自分から試しに行っていました。止めたのは、私ではなく、仕組みの安全チェックです。
5月のドライブの件も、止めたのは私ではありませんでした。消えたあとで気づいて、戻しただけです。
AIをつなぐ怖さは、私が見ていないところで、AIが先に動くことでした。
あわせて読みたい
同じように社内でAI活用を推進している方の話が、一番参考になります。 「うちはこうだった」があれば、ぜひコメントで教えてください。
この連載では、横浜の中小企業でAI活用を進めるなかで、 うまくいったことも、うまくいかなかったことも、そのまま書いています。 よかったらフォローして、次回も読んでいただけると嬉しいです。
