compliance-mcp

SOC2(신뢰 서비스 기준) 및 HIPAA(보안 규칙) 규정 준수 수정 로직을 AI 에이전트가 호출할 수 있는 구조화된 도구로 노출하는 Python Model Context Protocol 서버입니다.

이 서버는 LLM 기반 워크플로우를 위해 특별히 설계되었습니다:

발견 → 평가 → 수정 → 보고

각 도구는 강력한 유형의 구조화된 콘텐츠(Pydantic 모델)를 반환하므로, 호출하는 에이전트는 산문(prose)을 파싱할 필요 없이 단계를 연결할 수 있습니다.

기능

• 엄선된 통제 카탈로그: SOC2(공통 기준 + 가용성 + 기밀성 샘플) 및 HIPAA(45 CFR 164.308 / .310 / .312에 따른 행정적, 물리적, 기술적 보호 조치)를 포함합니다.

• 평가 엔진: 제공된 증거와 관찰 내용을 바탕으로 통제 항목의 점수를 매기고, 일치하는 증거, 누락된 증거, 발견 사항 및 우선순위가 지정된 수정 단계를 도출합니다.

• 처방적 수정 계획: 순차적 단계, 권장 소유자 역할 및 노력 추정치를 포함합니다.

• 프레임워크 간 매핑: SOC2 통제 항목과 HIPAA 보호 조치 간의 매핑을 제공합니다.

• 보고서 생성: 여러 통제 항목별 평가를 종합하여 전체 상태와 사람이 읽을 수 있는 요약이 포함된 우선순위 수정 계획으로 정리합니다.

• 공식 mcp Python SDK를 통해 MCP 도구, 리소스 및 프롬프트로 노출됩니다.

설치

Python 3.10 이상이 필요합니다.

pip install -e ".[dev]"

실행

compliance-mcp

이 명령은 stdio에서 MCP 서버를 시작합니다. MCP를 지원하는 모든 클라이언트(Claude Desktop, Claude Code, 커스텀 에이전트 등)에 연결하십시오:

{
  "mcpServers": {
    "compliance": {
      "command": "compliance-mcp"
    }
  }
}

도구

리소스

• compliance://soc2/catalog – 모든 SOC2 통제 항목의 JSON 덤프

• compliance://hipaa/catalog – 모든 HIPAA 보호 조치의 JSON 덤프

• compliance://mappings – SOC2 → HIPAA 매핑의 JSON 덤프

프롬프트

• remediation_review – 에이전트가 도구를 사용하여 특정 통제 항목을 수정하도록 안내합니다.

에이전트 흐름 예시

1. list_soc2_controls(category="Logical and Physical Access")

2. assess_soc2_control(control_id="CC6.1", evidence=[...], observations=[...])

3. get_soc2_remediation(control_id="CC6.1", severity="high")

4. map_soc2_to_hipaa(soc2_control_id="CC6.1") 후 연결된 HIPAA 보호 조치 평가.

5. generate_soc2_report(generated_for="prod-platform", assessments=[...])

테스트

pytest

테스트 제품군은 평가 엔진을 엔드투엔드로 다루며, 모든 도구가 MCP 런타임을 통해 등록되고 호출 가능한지 확인합니다.

프로젝트 레이아웃

src/compliance_mcp/
  __init__.py
  models.py           # Pydantic data model
  engine.py           # Pure-Python assessment + remediation logic
  server.py           # FastMCP server: tools, resources, prompts
  data/
    soc2.py           # SOC2 control catalog
    hipaa.py          # HIPAA safeguard catalog
    mappings.py       # SOC2 ↔ HIPAA cross mappings
tests/
  test_engine.py
  test_server.py

주의 사항

통제 카탈로그는 수정 추론을 유도하기 위해 의도적으로 엄선된 하위 집합입니다. 이는 AICPA TSC 또는 HHS HIPAA 보안 규칙 원문 자체를 대체할 수 없으며, 감사 시 유일한 근거 자료로 사용되어서는 안 됩니다.

라이선스

MIT