よくある誤解 6つ
「starter-kit を入れておけばいい」という思い込みは危険。6つの誤解を訂正します。
| よくある誤解 | 事実 / 正しい設計 |
|---|---|
| ① starter-kit を入れれば企業統制できる | できない。starter-kit は標準環境配布。統制には managed settings・SSO・MCP制御・OTel・MDM が必要 |
| ② server-managed があれば MDM は不要 | 必ずしも。改ざん耐性は MDM/OS-level/file-based が強い。高セキュリティは MDM/EDR/DLP/SIEM も |
| ③ WebFetch を deny すれば外部通信は止まる | 不十分。Bash の curl/wget で到達しうる。permissions＋hooks＋sandbox＋EDR＋NW制御を組合せ |
| ④ MCP は便利なので自由に使わせてよい | 危険。社内データ・外部SaaSに接続。承認済みMCPだけを使わせログを取る |
| ⑤ prompt に「危険なことをしないで」で十分 | 不十分。CLAUDE.md/rules に強制力なし。permissions/hooks/managed/sandbox の実行時制御が必要 |
| ⑥ managed を入れれば全経路が統制済み | 適用は CLI・IDE のみ。Claude Code on Web / Desktop は対象外＝組織側の管理設定・運用で別途統制 |