IT女子 アラ美組織展開スキルを武器に戦略的キャリアを築くならハイクラス特化エージェントに相談しなさい
自分らしく働けるエンジニア転職を目指すなら【strategy career】
お疲れ様です！IT業界で働くアライグマです！
「個人でClaude Codeを触るのは便利だが、チーム導入しようとした瞬間に情シスに止められた」「ツール自体は便利なのに、機密情報の扱いがふわっとしていて全社展開に進めない」。こうした壁にぶつかっているエンジニアリーダー・PjMは2026年現在、急増しています。Claude Code Meetup Japan #4ではメルカリAI Security Teamの赤松洋樹氏（@hi120ki）がこのテーマで発表し、MDMによるClaude Code設定の一括配布という具体的な組織配布戦略を公開しました。本記事では、この発表で示された実例を軸に、チーム導入で失敗しないガバナンス設計の実務を整理します。
なぜ「組織配布戦略」という視点が急に重要になったのか
IT女子 アラ美Claude Codeが登場して1年以上が経ち、「個人で使って便利だった」というフェーズから、「チーム全員に配ってどう運用するか」というフェーズに議論の中心が移っています。個人利用とチーム利用の間には、技術的な差よりもガバナンス的な差の方が遥かに大きな壁として立ちはだかります。
個人利用で問題にならなかった要素が、チーム利用では一斉に火を噴きます。
- 機密情報の扱い：個人の副業コードなら自己責任だが、業務コードを外部APIに送るには明確なポリシーが必須
- 設定の再現性：1人だけ正しい設定でも意味がなく、「全員が同じ安全な設定で動いている」状態が必要
- 監査ログの取得：誰がいつ何をAIに渡したかを追跡できる仕組みがないと、インシデント時に対応できない
- オンボーディングの自動化：新メンバーが入るたびに手動で設定を配布していると、設定漏れが発生する
Claude Code Meetup Japan #4でメルカリAI Security Teamが発表した「セキュリティ設定の組織配布戦略」は、まさにこの4点に正面から向き合った事例として注目されました。発表では、現在の開発の中心がClaude Codeになっていること、非エンジニアを含めた全社活用を止めずに安全に利用するために、MDM（端末管理）を使ってClaude Code設定とシステムプロンプトを組織全体に一括配布するという戦略が示されています。PC上に存在する重要ファイルや認証情報を守りつつ、生産性を落とさずに全員が使える状態を実現した、という点で業界全体に大きな示唆を与えました。
組織全体にAIツールを展開する際のポリシー設計については、AI利用ポリシーとチームルール設計のPjMガイドで体系的に解説しています。Claude Codeに限らず、組織へのAI導入全般で共通して効く考え方なので、あわせて読むと視野が広がります。
IT女子 アラ美
ITアライグマ組織配布戦略フレームワーク：3レイヤーで考えるガバナンス設計
Claude Codeのチーム導入で本当に押さえるべきは、「ツールの設定項目」ではなく「ガバナンスの階層」です。本記事では組織配布戦略を3つのレイヤーに分解して考えます。この分解さえできれば、ツールがClaude Codeであろうと次世代のエージェントであろうと、応用が効くフレームワークになります。
レイヤー1：ポリシー層（何を守るか）
最上位は「組織として何を守るべきか」を定めるポリシー層です。ここはセキュリティ部門・法務・経営層との合意が必要で、技術者だけで決めてはいけない領域です。
- 機密情報のクラス分け：顧客情報、社内の設計情報、公開可能なOSS相当のコードを明確に分類する
- AIに渡せる情報の境界：どのクラスの情報をClaude Codeに渡してよいか、ネガティブリスト方式で明文化する
- インシデント時の報告ルート：機密情報を誤って送信した場合の報告先と対応手順を事前に決めておく
レイヤー2：設定層（どう守るか）
ポリシーが決まったら、それを技術的に「守れる状態」にするのが設定層です。Claude Codeには環境変数、設定ファイル（~/.claude/配下）、プロジェクト単位の.claude/ディレクトリなど複数の設定箇所があります。組織配布戦略ではこの設定を「個人任せ」にせず、標準テンプレートとして配布することが肝になります。
メルカリの発表では、具体的に次のような操作を制限・必須化していることが示されました。
- パーミッションモードのbypassを禁止：人間確認を回避するモードは使わせない
- bashのインライン実行やcurlは確認を必須：危険なコマンドは必ず人間が確認してから実行される
- 環境変数の管理ファイルの読み込み禁止：
.env等の機密情報ファイルをAIに読ませない - AIによるシステム変更(sudo)の禁止：端末の設定変更や管理者権限を必要とする操作はブロック
- Sandboxによるディレクトリ外およびネットワークの制限：作業ディレクトリ外への操作とネットワーク経由の漏洩を防止
- 会社のセキュリティポリシーをシステムプロンプトで教える：Claude Code自身がポリシーを認識した状態で動く
これらの設定は「やってはいけないこと」をツール側で強制するアプローチであり、個人の判断に依存しない点が重要です。人はうっかりミスをしますが、設定層で弾いてしまえばミスそのものが発生しません。シークレット管理の詳細な考え方は、dotenvシークレット管理のAI時代セキュリティガイドで扱っています。AI時代の.env運用はAIツール以前と明確に違うので、Claude Code導入と同時に見直すことをおすすめします。
レイヤー3：配布層（どう配るか）
最後が「標準設定をどう全員に配るか」です。ここを手動でやると一気にスケーラビリティが崩壊します。メルカリはこの配布層でMDM（端末管理システム）を使った一括展開を採用しており、さらに「エンジニア向け」と「非エンジニア向け」で配布設定を分離している点が最大の工夫です。
- 非エンジニア向け：カスタマイズなしで実現できる最も安全な設定を配布。技術的な知識がない人でも、デフォルトで危険な操作ができない状態にしておく
- エンジニア向け：安全性を確保しつつ、業務で必要なカスタマイズが可能な設定を配布。生産性と安全性のバランスを取る
MDMを使わない組織でも、この「配布層を2つに分ける」発想は応用できます。たとえば小規模チームなら次のような代替手段が現実的です。
- 設定ファイルをGit管理：
.claude/相当の設定をリポジトリにコミットし、clone時点で自動適用される状態にする - オンボーディングスクリプト化：新メンバーがjoinしたら1コマンドで環境が整う仕組みを用意する
- CI/CDでの強制：設定が改変されていないか、重要なフックが無効化されていないかをCIで検証する
この3層構造で考えると、「メルカリの実例」も「自分の組織に合う戦略」もクリアに見えてきます。発表資料の細部を追うよりも、自社のどのレイヤーが抜けているかを先に診断する方が実務的価値は大きいです。
IT女子 アラ美ITアライグマケーススタディ：150名規模の開発組織でClaude Codeを安全に展開した事例
IT女子 アラ美ツール選定権限を持つ社内SEポジションを狙うなら特化型エージェントに相談しなさい
社内SEを目指す方必見！IT・Webエンジニアの転職なら【社内SE転職ナビ】
星野さん（仮名・35歳・プラットフォームエンジニアリング部リード・経験12年）が所属する150名規模の開発組織で、Claude Codeの組織配布を成功させた事例を紹介します。
状況（Before）
星野さんの組織では、Claude Code登場後しばらくは「使いたい人が勝手に使う」状態が続いていました。しかし規模が大きくなるにつれて課題が噴出し始めました。
- 個人利用の広がりとガバナンスの不在：半年で約60名が個人利用を始めたが、設定は全員バラバラで統制が効かない状態
- 機密情報流出のヒヤリハット：本番DBの接続文字列を含むファイルをうっかりAIに読ませた事案が月に2〜3件発生
- 情シスからの全面停止圧力：インシデント未遂を受け、情シスから「組織的な統制が取れないなら全面停止」と通告された
- 経営層の板挟み：開発生産性は上げたい、でもリスクも取れない、という相反要求で経営判断が止まっていた
行動（Action）
星野さんは「ツール禁止」を避けるため、本記事で紹介した3レイヤーのフレームワークで組織配布戦略を再設計しました。ポイントは「2週間以内にポリシー層だけ先に合意する」という短期ゴール設定です。
- Week 1：情シス・法務と機密情報クラス分けの草案を作成。AIに渡せる情報の境界をネガティブリスト方式で明文化
- Week 2：標準設定ファイルのテンプレートをGit管理リポジトリに配置。
.claude/相当の設定をリポジトリにコミット - Week 3-4：オンボーディングスクリプトを整備し、
make setup-claudeコマンド1つで環境が整う状態に - Week 5-：CI/CDで機密ファイルの除外設定が改変されていないかを自動検証。違反があればPRをブロック
結果（After）
3ヶ月後、組織の状態は大きく変化しました。
- 機密情報流出のヒヤリハット：月2〜3件 → ゼロ件（3ヶ月連続で発生なし）
- 情シスの停止通告：撤回。代わりに「標準設定を満たす個人のみ利用可」というルールで正式承認
- Claude Code利用者数：60名 → 120名（統制が効くと分かったため、むしろ推奨に転じた）
- オンボーディング所要時間：個人任せで平均30分 → 1コマンド5分（83%削減）
星野さんは振り返ります。「ツールそのものの便利さを訴えても情シスは動かない。でも「ガバナンスを設計してから配布する」という順序に切り替えた瞬間、情シスは協力者に変わりました。敵対関係が協働関係に変わったのが、この3ヶ月で一番大きな収穫です」。この種の組織設計スキルは、転職市場でも高く評価されます。ハイクラスエンジニア転職エージェント3社比較ガイドで紹介されているような戦略派エージェントに相談すると、「AIガバナンス設計経験」を武器にした高年収求人の選択肢が見えてきます。
IT女子 アラ美ITアライグマ明日から試せるガバナンス設計の第一歩
フレームワークを知っただけでは何も変わりません。ここでは「月曜から実際に手を動かせる」最小のステップに分解します。いきなり全社展開を目指さず、自分のチーム単位で小さく始めるのが鉄則です。
- 自分のチーム（5〜15名程度）を対象範囲にする：全社を対象にすると合意形成に数ヶ月かかります。まずは直属チームに絞り、成功事例を作ってから広げましょう
- 1時間ワークショップで「渡していい情報／ダメな情報」を洗い出す：ホワイトボードに箇条書きで十分です。合意できた内容を即Wikiに記録し、チームの共通認識にします
- 標準設定テンプレートをリポジトリに配置する：
.claude/配下の設定ファイル例を1つコミットし、READMEにclone後の有効化手順を書いておきます - CI/CDで最低1つのチェックを追加する：「
.env系ファイルがコミットに混入していないか」という単純なチェックだけでも効果は絶大です - 2週間後に振り返る：誰がどこで詰まったかを全員で共有し、テンプレートと手順書を改善します
この5ステップはすべて「自分1人の判断で着手可能」な範囲に収めてあります。経営判断や情シス合意を待たずに始められる部分から動くのが、最短で成果を出すコツです。
加えて、チーム導入が絡む変更では「前提合意を先に取る」という基本原則が決定的に重要です。AIが書いたコードをレビューするな：前提合意と設計判断を先にすべき理由で解説している「前提合意」の考え方は、Claude Codeのガバナンス設計にもそのまま当てはまります。技術的に正しい解よりも、関係者の合意が取れている解の方が組織では機能します。
IT女子 アラ美ITアライグマよくある質問
Q. 情シスを最初から巻き込むべきですか？
タイミングを見極めることが重要です。最初の2週間は自分のチーム内で草案を作り、「ポリシー案・設定案・配布案の3点セット」を持って情シスに相談するのが最も効率的です。何もない状態で「Claude Codeを導入したい」と伝えるだけだと、ほぼ確実に拒否されます。叩き台を持参すると、相手も「どこを直せばOKか」という具体的な議論に入れるので、協力者になってくれる確率が跳ね上がります。
Q. 小規模チーム（5名以下）でもガバナンスは必要ですか？
必要です。むしろ小規模チームほど「1人の事故が全体のリスクになる」ため、ルールを軽く決めておくのが安全です。ただし大組織のような重厚な仕組みは不要で、1ページのWikiとリポジトリ内の設定ファイルだけで十分機能します。サイズに合わせた最小限のガバナンスを意識してください。
Q. メルカリの発表資料は一般公開されていますか？
はい、公開されています。メルカリAI Security Teamの赤松洋樹氏による発表資料「メルカリのClaude Codeセキュリティ設定の組織配布戦略 – Claude Code Meetup Japan #4」はSpeaker Deckで閲覧できます。本記事でもこの一次ソースに基づいて、MDMを使った一括配布・禁止操作のリスト・非エンジニア向けとエンジニア向けの設定分離などの具体的な戦略を紹介しました。より踏み込んだ技術詳細を知りたい方は、原文の発表資料を直接ご確認ください。
Q. Claude Code以外のAIコーディングツールにも応用できますか？
はい、できます。本記事の3レイヤーフレームワーク（ポリシー層→設定層→配布層）は、Cursor、GitHub Copilot、Codex CLIなど他のAIコーディングツールにそのまま適用できます。ツール依存の部分はレイヤー2（設定層）だけで、ポリシーと配布の考え方はどれも同じです。組織に複数ツールが混在している場合も、この3層で整理すると管理負荷が下がります。
さらなる年収アップやキャリアアップを目指すなら、ハイクラス向けの求人に特化した以下のサービスがおすすめです。
| 比較項目 | TechGo | レバテックダイレクト | ビズリーチ |
|---|---|---|---|
| 年収レンジ | 800万〜1,500万円ハイクラス特化 | 600万〜1,000万円IT専門スカウト | 700万〜2,000万円全業界・管理職含む |
| 技術スタック | モダン環境中心 | Web系に強い | 企業によりバラバラ |
| リモート率 | フルリモート前提多数 | 条件検索可能 | 原則出社も多い |
| おすすめ度 | 技術で稼ぐならここ | A受身で探すなら | Bマネジメント層向け |
| 公式サイト | 無料登録する | - | - |
IT女子 アラ美ITアライグマまとめ
Claude Codeの組織展開で本当に押さえるべきは、ツールそのものの設定項目ではなく、「ポリシー→設定→配布」の3レイヤーのガバナンス設計です。メルカリの発表が話題になったのは、多くの組織がこの階層構造で悩んでいるからであり、正解が1つではない問題に対して「考え方の型」を示した意義が大きいからです。
- ポリシー層：機密情報のクラス分けとAIに渡せる情報の境界を明文化する
- 設定層：標準設定テンプレートをリポジトリで管理し、全員で同じ設定を共有する
- 配布層：オンボーディングスクリプトとCI/CDチェックで、手動配布から脱却する
- 最初の一歩は自分のチームから：全社合意を待たずに5〜15名単位で小さく始め、成功事例を作ってから広げる
「情シスが協力者になる」「組織全体でAIを安全に活用する」という世界は、設計次第で現実的に到達可能です。まずは本記事の5ステップから、自分のチームでガバナンス設計を始めてみてください。AIコーディングツールの組織展開スキルは、2026年のエンジニアリーダー・PjM市場で最も希少価値の高いスキルの1つになっています。
IT女子 アラ美ITアライグマ
