mcp-server-scf

mcp-server-scf

AI エージェント向けのセキュリティコンプライアンス管理策、フレームワーク、リスク管理。

AI アシスタントが、1,451 件の SCF セキュリティ管理策、354 以上のフレームワーク対応関係（NIST 800-53、ISO 27001、SOC 2、FedRAMP、GDPR）、証拠の追跡、リスク登録簿、ベンダーリスク管理にアクセスできるようにします。すべてモデルコンテキストプロトコルを通じて利用できます。

SCF Controls Platform 向けに構築されています。ComplianceGenie.io がメンテナンスしています。

🆕 プラットフォームはオープンソースのセルフホスト可能なソフトウェアになりました。 Secure Controls Framework の無料コンテンツに対応する SCF ネイティブの GRC ツールである SCF Controls Platform は、AGPL-3.0 のもと scf-controls-platform-oss で公開されています。企業は Docker Compose を使ってダウンロードし、自社でホストできます。

お困りですか？ → docs/troubleshooting.md · API キーの設定 → docs/authentication.md · 仕組み → docs/architecture.md

---

概要

mcp-server-scf は、MCP を介して AI アシスタントを SCF Controls Platform に接続し、コンプライアンスプログラムを自然言語で操作できるようにします。AI は、エディターやチャットを離れることなく、SCF の管理策カタログ全体を閲覧し、実装の進捗を追跡し、証拠収集を管理し、リスクを評価し、サードパーティベンダーを監視できます。

パラメータの一覧表とプロンプトの例は、15 のドメインにわたる 224 個のツールからご覧いただけます：

ドメイン	ツール数	説明
カタログ	8	1,451 件の管理策、354 以上のフレームワーク、5,736 件の評価目標、ドメイン、証拠の定義を参照します
管理策のスコープ設定	15	8 段階のワークフローで実装状況を追跡します。フレームワークごとのスコープ設定・解除を一括で行い、フレームワークのカバレッジ、スコープ変更のプレビュー、管理策ごとのオーバーライドを確認できます。義務の根拠、重要度、目標成熟度、手順へのリンクも管理します
証拠	41	証拠の追跡（一括および個別）、タスク、ファイルレビュー、健全性、検証、AI 評価、レビューキュー
リスク管理	19	5x5 リスクマトリクス、リスク登録簿、スコアの更新、承認済みのリスク受容、カスタムリスクと基準の例外、管理策↔リスクのトレーサビリティ、リスクプロファイル
ベンダーリスク（TPRM）	23	ベンダー登録簿、AI 調査と評価、認証、アクションアイテム、代替統制
組織	12	ユーザー、組織、組織プロファイルと成熟度目標、監査証跡、変更カーソル、作業キュー、通知
ケイパビリティ	19	KSI テーマ、スコアカード、証拠の状況、システムインベントリ、システム証拠のケイパビリティ、カタログと AI レシピ
Webhook	6	Webhook エンドポイント、配信ログ、シークレットのローテーション
ドキュメント	15	ISMS ドキュメントの生成、セクション編集、マージの解決、ライフサイクルの移行、エクスポート
監査エンゲージメント	16	エンゲージメントワークスペース、固定されたスコープ、フレームワークに準拠した表示、監査人アクセス、構造化クエリ
カタログの調整	9	SCF カタログのバージョンアップグレードをプレビュー、決定、適用し、組織向けにロールバックします
チーム	11	業務機能、チームと名簿、管理策と証拠（一括および個別）に対するチームの説明責任
コラボレーション	7	管理策、証拠、タスクへのユーザー割り当て、コメントスレッド
ガイド付きジャーニー	4	組織がたどる段階的な道筋、ジャーニーテンプレート、インポート、名前付きステージの証明
保証	19	管理策の不備、組織の代替統制、管理策の検証、月次の状況スナップショット、ケイパビリティテスト
どのプラットフォーム操作をツールにしたか、どれを後回しにしたか、どれを意図的に対象外としたかについては、docs/tool-scope.md に記録されています。

---

MCP Inspector で試す

クライアントにサーバーを追加せずに使い心地を試せます。MCP Inspector は、すべてのツールとそのスキーマ、説明を調べられるローカル UI を起動します。

npx @modelcontextprotocol/inspector npx -y mcp-server-scf

Inspector は http://localhost:6274 で開き、stdio 経由で mcp-server-scf に接続します。224 個のツールがドメイン別にグループ化され、Zod スキーマがライブフォームとして表示されます。

ツールを実際に呼び出すには、インスタンスの URL と API キーが必要です。Inspector を起動する前に同じシェルで SCF_API_URL と SCF_API_KEY をエクスポートするか、Inspector UI 内の「Environment Variables」タブで設定してください。これらを設定しなくても、スキーマと説明は確認できますが、ツールの呼び出しは設定エラーになります。

---

クイックスタート

1. プラットフォームをセルフホストして API キーを取得する

SCF Controls Platform は、自分でホストするオープンソースソフトウェアです。サインアップは不要です。scf-controls-platform-oss からデプロイします（PostgreSQL、Redis、MinIO を含む Docker Compose スタック）。その後、以下を行います。

1. プラットフォームの .env で API_KEY を設定します（openssl rand -hex 32 で生成できます）。または、アプリの起動後に Settings → API Keys でキーを作成します。
2. インスタンスの API URL を確認します。デフォルトは http://localhost:8000 です。デプロイ済みの場合は、デプロイ先のホストを指定します。

このキーを SCF_API_KEY に、インスタンスの URL を SCF_API_URL に設定してください（設定を参照）。

2. インストール — ワンクリック

クライアントに適した方法を選んでください。

Claude Desktop — ワンクリックでインストールするには、以下の署名済み .mcpb Desktop Extension を使います。Claude Desktop はカスタム URL スキームを登録しないため、クリックできるディープリンクはありません。代わりに、.mcpb を Settings → Extensions にドラッグし、API キーを一度貼り付けます。上流の追跡課題については、anthropics/claude-code#26952 を参照してください。

Cursor — 以下のバッジをクリックしてください。Cursor は cursor:// スキームを登録するため、ディープリンクを開くと、サーバー設定があらかじめ入力された状態で IDE が起動します。

インストール後、あらかじめ入力されている SCF_API_URL をお使いのインスタンスを指すように編集してください。ホスト型のデフォルト設定はありません。

設定を手動で編集する場合や、ディープリンクに対応していないクライアント（Windsurf、Docker）を使う場合は、以下の 3. 手動設定 を参照してください。

Claude Desktop Extension（.mcpb）

Claude Desktop ≥ 0.11.0 では、署名済みの .mcpb バンドルが最も簡単なインストール方法です。JSON の編集も、npx ランタイムも、ホスト側の Node も不要です。

1. 最新の GitHub リリースから mcp-server-scf-<version>.mcpb をダウンロードします。
2. ファイルをダブルクリックするか、Claude Desktop → Settings → Extensions にドラッグします。
3. プロンプトが表示されたら、scf_… API キーを貼り付けます。キーは設定ファイルではなく、OS のキーチェーンに保存されます。
4. Claude Desktop がサーバーを再起動し、224 個すべてのツールを利用できるようになります。

後でアンインストールする場合や API キーを更新する場合は、Settings → Extensions → SCF Controls Platform → Configure を選択してください。

3. 手動設定

Claude Desktop — ~/Library/Application Support/Claude/claude_desktop_config.json（macOS）または %APPDATA%\Claude\claude_desktop_config.json（Windows）を編集します。

{
  "mcpServers": {
    "scf": {
      "command": "npx",
      "args": ["-y", "mcp-server-scf"],
      "env": {
        "SCF_API_KEY": "your_api_key_here",
        "SCF_API_URL": "http://localhost:8000"
      }
    }
  }
}

Claude Code：

claude mcp add scf -- npx -y mcp-server-scf
export SCF_API_KEY="your_api_key_here"
export SCF_API_URL="http://localhost:8000"

Cursor / Windsurf — Claude Desktop と同じ JSON 形式を .cursor/mcp.json（または Windsurf の同等のパス）に設定します。

Docker：

{
  "mcpServers": {
    "scf": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "-e", "SCF_API_KEY", "-e", "SCF_API_URL", "markac007/mcp-server-scf"],
      "env": {
        "SCF_API_KEY": "scf_your_api_key_here",
        "SCF_API_URL": "https://scf.your-domain.example"
      }
    }
  }
}

---

設定

変数	必須	デフォルト	説明
SCF_API_KEY	はい	—	セルフホスト型プラットフォームのインスタンスから取得した API キー
SCF_API_URL	はい	—	セルフホスト型プラットフォームのベース URL（例：http://localhost:8000）。以前のホスト型デフォルトは廃止されています。

---

プロンプトの例

接続したら、AI アシスタントに次のように質問してみてください。

• 「アクセス制御に適用される NIST 800-53 の管理策を教えてください。」
• 「組織の管理策の実装状況を表示してください。」
• 「重要度が「重大」のベンダーとリスクスコアをすべて一覧表示してください。」
• 「クラウド移行のリスク評価を作成してください。」
• 「SOC 2 監査のために収集が必要な証跡を教えてください。」
• 「組織の 5x5 リスクマトリックスを表示してください。」
• 「クラウドプロバイダーのベンダーに対して DPSIA を実行してください。」

その他の例は、docs/tools/ 以下の各ドメイン別ドキュメントをご覧ください。

---

ドキュメント

• docs/authentication.md — API キーの設定とローテーション、セルフホスト型 URL の設定、スコープ。
• docs/architecture.md — リクエストフロー、エラーモデル、レート制限、サーバーが行うことと行わないこと。
• docs/troubleshooting.md — よくある障害モードの症状／原因／解決策。
• docs/tools/ — 全パラメーター表を含む、ドメイン別リファレンス。

---

セキュリティ

• API キーがログに記録されたり、エラーメッセージに含まれたりすることはありません。
• キーはサーバー側で SHA-256 ハッシュ化されます。localhost を超えてアクセス可能なインスタンスには HTTPS を使用してください。
• レート制限：読み取りは 100 req/min、書き込みは 20 req/min です。
• マルチテナント対応 — すべての操作は組織の範囲内で行われます。
• npm パッケージは、OIDC 信頼済みパブリッシングを使用した来歴証明付きで公開されています。
• CI には、Gitleaks によるシークレット検出、CodeQL 分析、Semgrep SAST が含まれます。

脆弱性を報告するには、SECURITY.mdをご覧ください。

---

プライバシーポリシー

mcp-server-scf はステートレスなコネクターであり、ユーザーデータを独自に保存しません。すべてのデータは、API キーで認証された、お使いの MCP クライアントと独自の SCF Controls Platform インスタンスの間で直接やり取りされます。第三者に送信されたり、第三者によって保持されたりすることはありません。詳しくは、プライバシーポリシー全文をご覧ください。

---

開発

git clone https://github.com/MarkAC007/mcp-server-scf.git
cd mcp-server-scf
npm install
npm run build
npm run dev        # Watch mode
npm run lint       # ESLint
npm test           # Vitest

MCP Inspector でのテスト

SCF_API_KEY=scf_your_key npx @modelcontextprotocol/inspector node build/index.js

---

貢献

貢献を歓迎します！PR を送信する前に、CONTRIBUTING.mdをお読みください。

このプロジェクトはContributor Covenantに従っています。CODE_OF_CONDUCT.mdをご覧ください。参加する際は、この行動規範を遵守することが求められます。

1. リポジトリをフォークする
2. フィーチャーブランチを作成する（git checkout -b feature/amazing-feature）
3. 変更をコミットする（git commit -m 'Add amazing feature'）
4. ブランチにプッシュする（git push origin feature/amazing-feature）
5. プルリクエストを作成する

---

ライセンス

MIT — LICENSEをご覧ください。

---

リンク

• scf-controls-platform-oss — オープンソースのセルフホスト可能なプラットフォーム（AGPL-3.0）
• ComplianceGenie.io — メンテナー
• Model Context Protocol — MCP 仕様
• SCF Framework — Secure Controls Framework
• npm Package — npm レジストリ
• Changelog — リリース履歴