compliance-mcp

SOC2（信頼できるサービス基準）およびHIPAA（セキュリティルール）のコンプライアンス是正ロジックを、AIエージェントが呼び出せる構造化ツールとして公開するPython製Model Context Protocolサーバーです。

このサーバーは、LLM主導のワークフロー専用に構築されています：

発見 → 評価 → 是正 → 報告

各ツールは厳密に型定義された構造化コンテンツ（Pydanticモデル）を返すため、呼び出し側のエージェントは文章を解析することなくステップを連鎖させることができます。

特徴

• 厳選された管理カタログ：SOC2（共通基準 + 可用性 + 機密保持のサンプル）およびHIPAA（45 CFR 164.308 / .310 / .312に基づく管理、物理、技術的保護措置）。

• 評価エンジン：提供された証拠と観察結果に基づいて管理項目をスコアリングし、一致する証拠、欠落している証拠、発見事項、優先順位付けされた是正ステップを提示します。

• 処方的な是正計画：順序立てられたステップ、推奨される担当者ロール、および工数見積もりを提供します。

• フレームワーク間のマッピング：SOC2管理項目とHIPAA保護措置間のマッピング。

• レポート生成：管理項目ごとの複数の評価を、全体的なステータスと人間が読める要約を含む優先順位付けされた是正計画にまとめます。

• 公式の mcp Python SDKを介して、MCPツール、リソース、プロンプトとして公開されます。

インストール

Python 3.10以上が必要です。

pip install -e ".[dev]"

実行

compliance-mcp

これにより、stdio上でMCPサーバーが起動します。MCP対応クライアント（Claude Desktop、Claude Code、カスタムエージェントなど）に接続してください：

{
  "mcpServers": {
    "compliance": {
      "command": "compliance-mcp"
    }
  }
}

ツール

リソース

• compliance://soc2/catalog – 全SOC2管理項目のJSONダンプ

• compliance://hipaa/catalog – 全HIPAA保護措置のJSONダンプ

• compliance://mappings – SOC2 → HIPAAマッピングのJSONダンプ

プロンプト

• remediation_review – 特定の管理項目を是正するためにツールを使用するプロセスをエージェントにガイドします。

エージェントフローの例

1. list_soc2_controls(category="Logical and Physical Access")

2. assess_soc2_control(control_id="CC6.1", evidence=[...], observations=[...])

3. get_soc2_remediation(control_id="CC6.1", severity="high")

4. map_soc2_to_hipaa(soc2_control_id="CC6.1") を実行し、リンクされたHIPAA保護措置を評価する。

5. generate_soc2_report(generated_for="prod-platform", assessments=[...])

テスト

pytest

テストスイートは評価エンジンをエンドツーエンドでカバーしており、すべてのツールがMCPランタイムを通じて登録され、呼び出し可能であることを検証します。

プロジェクト構成

src/compliance_mcp/
  __init__.py
  models.py           # Pydantic data model
  engine.py           # Pure-Python assessment + remediation logic
  server.py           # FastMCP server: tools, resources, prompts
  data/
    soc2.py           # SOC2 control catalog
    hipaa.py          # HIPAA safeguard catalog
    mappings.py       # SOC2 ↔ HIPAA cross mappings
tests/
  test_engine.py
  test_server.py

注意事項

管理カタログは、是正の推論を促進するために意図的に厳選されたサブセットです。これらはAICPA TSCやHHS HIPAAセキュリティルールの原文に代わるものではなく、監査において唯一の根拠とすべきではありません。

ライセンス

MIT