compliance-mcp

Un servidor de Python Model Context Protocol que expone lógica de remediación de cumplimiento de SOC2 (Criterios de Servicios de Confianza) y HIPAA (Regla de Seguridad) como herramientas estructuradas que los agentes de IA pueden llamar.

El servidor está diseñado específicamente para un flujo de trabajo impulsado por LLM:

descubrir → evaluar → remediar → informar

Cada herramienta devuelve contenido estructurado con tipos definidos (modelos Pydantic) para que el agente que realiza la llamada pueda encadenar pasos sin necesidad de analizar prosa.

Características

• Catálogos de control seleccionados para SOC2 (Criterios Comunes + Disponibilidad + muestras de Confidencialidad) y HIPAA (salvaguardas Administrativas, Físicas y Técnicas bajo 45 CFR 164.308 / .310 / .312).

• Motor de evaluación que califica los controles frente a la evidencia y observaciones proporcionadas, mostrando evidencia coincidente, evidencia faltante, hallazgos y pasos de remediación priorizados.

• Planes de remediación prescriptivos con pasos ordenados, rol de propietario recomendado y estimaciones de esfuerzo.

• Mapeos entre marcos entre controles SOC2 y salvaguardas HIPAA.

• Generación de informes que consolida múltiples evaluaciones por control en un plan de remediación priorizado con un estado general y un resumen legible para humanos.

• Expuesto como herramientas, recursos y un prompt de MCP a través del SDK oficial de Python mcp.

Instalación

Requiere Python 3.10+.

pip install -e ".[dev]"

Ejecución

compliance-mcp

Esto inicia el servidor MCP en stdio. Conéctelo en cualquier cliente compatible con MCP (Claude Desktop, Claude Code, agentes personalizados, etc.):

{
  "mcpServers": {
    "compliance": {
      "command": "compliance-mcp"
    }
  }
}

Herramientas

Recursos

• compliance://soc2/catalog – Volcado JSON de cada control SOC2

• compliance://hipaa/catalog – Volcado JSON de cada salvaguarda HIPAA

• compliance://mappings – Volcado JSON de mapeos SOC2 → HIPAA

Prompt

• remediation_review – guía a un agente a través del uso de las herramientas para remediar un control específico.

Ejemplo de flujo de agente

1. list_soc2_controls(category="Logical and Physical Access")

2. assess_soc2_control(control_id="CC6.1", evidence=[...], observations=[...])

3. get_soc2_remediation(control_id="CC6.1", severity="high")

4. map_soc2_to_hipaa(soc2_control_id="CC6.1") luego evalúe las salvaguardas HIPAA vinculadas.

5. generate_soc2_report(generated_for="prod-platform", assessments=[...])

Pruebas

pytest

El conjunto de pruebas cubre el motor de evaluación de principio a fin y verifica que cada herramienta esté registrada y sea invocable a través del tiempo de ejecución de MCP.

Diseño del proyecto

src/compliance_mcp/
  __init__.py
  models.py           # Pydantic data model
  engine.py           # Pure-Python assessment + remediation logic
  server.py           # FastMCP server: tools, resources, prompts
  data/
    soc2.py           # SOC2 control catalog
    hipaa.py          # HIPAA safeguard catalog
    mappings.py       # SOC2 ↔ HIPAA cross mappings
tests/
  test_engine.py
  test_server.py

Advertencias

Los catálogos de control son intencionalmente un subconjunto seleccionado adecuado para impulsar el razonamiento de remediación. No son un sustituto del texto de AICPA TSC o de la Regla de Seguridad HIPAA de HHS en sí mismo, y no deben ser el único artefacto en el que confiar para una auditoría.

Licencia

MIT