MCP のコンプライアンス ガイドライン

概要

UiPath MCP サーバーを使用すると、エージェントはモデル コンテキスト プロトコル (MCP) を介して外部のツールやコードを利用できます。

以下が含まれます。

• UiPath: プロセスや API ワークフローをはじめとする他の UiPath コンポーネントをツールとして直接使用できます。
• リモート: サードパーティ サービスへの接続、カスタム コードの実行 (コード化されたサーバー)、スクリプト コマンドの実行 (コマンド サーバー) などが可能です。

UiPath Platform は、これらの連携のための安全な通信とガバナンスを提供しますが、外部エンドポイントやカスタム コードはコア プラットフォームのセキュリティ境界の外部で動作します。つまり、データやアクションが UiPath の管理下にある環境から離れた場合は、お客様がそのセキュリティとコンプライアンスに責任を持つことになります。実際には、UiPath は転送中およびサービス内で保存中のデータを暗号化し、ロールベースのアクセスを適用しますが、UiPath の外部にあるもの (外部サーバーやコード) については、データのプライバシー、エンドポイント セキュリティ、および規制コンプライアンスは、引き続きお客様の責任となります。

重要: UiPath では、外部サーバーやコードが管理されません。このようなコンポーネントのセキュリティと信頼性はお客様の側で管理します。したがって、MCP の連携を使用するには、組織のコンプライアンス要件を満たすために、シークレットの処理方法、信頼するエンドポイント、実行するコードに細心の注意を払う必要があります。

リモート サーバー、コード化されたサーバー、およびコマンド サーバーのセキュリティ上の影響

リモート サーバー

リモート サーバーの構成で、MCP Streamable HTTP トランスポート向けに外部 HTTP(S) エンドポイントへの接続を定義します。つまり、この外部サービスとの間で送受信するすべてのデータには、UiPath による直接制御が及ばないというセキュリティ上の影響があります。リモート サーバーで認証 (API キー、トークンなど) が要求される場合、これらのシークレットを HTTP ヘッダーや URL に直接埋め込みたくなるかもしれません。シークレットを設定に直接保存するのは危険です。UiPath MCP サービスでは、このような機密性の高いヘッダー値が UI 上ではマスクされ、データベースへの保存では暗号化されますが、扱いが不適切であると、そのようなデータがシステムを通過し、公になる可能性があります。また、エンドポイント URL、本文のペイロード、クエリ パラメーターなどのフィールドはデータベースで暗号化されません。このようなフィールドには機密データを決して入力しないようにします。外部エンドポイントに送信したデータは、そのエンドポイントが侵害されている場合や通信が安全ではない場合、傍受や悪用の危険にさらされます。つまり、リモート サーバーによってオートメーションが外部ネットワークに拡張されることから、それらのエンドポイントが信頼できることを確認し、転送でシークレットや機密情報が漏洩しないようにする必要があります。

コード化されたサーバーとコマンド サーバー

コード化されたサーバーは、エージェントの一部としてパッケージ化して実行するカスタム コード (Python スクリプトやプログラムなど) を参照し、コマンド サーバーはサーバーレス ランタイムでシェル コマンドやスクリプトを実行します。どちらも、UiPath によってオーケストレーションされたエフェメラルなサーバーレス コンテナーの中で、ユーザーが指定したロジックを実行します。セキュリティの観点から見ると、UiPath クラウド環境で特定の権限によってコードが実行されます。注目すべきことは、それが組織のコンテキストで実行され、UiPath サービスにコールバックするために、組織やユーザーを対象範囲とした認証トークン (ベアラー トークン) が保持されることです。その主意は、そのトークンと、場合によっては他の環境変数によって、実行するコードが生来的に信頼されているということにあります。悪意のあるコードや未検証のコードを実行すると、トークンなどの機密情報が盗まれ、不正な操作が実行されるおそれがあります。コード化されたサーバーやコマンド サーバーでは、信頼できないコードの使用を厳格に禁止する必要があります。データの漏洩や付与されている特権の悪用につながる可能性があるからです。悪意のないコードであっても、攻撃者がアクセスするために悪用できる脆弱性が潜んでいる可能性があります。また、これらのコンテナーは、構成や資格情報のような特定の環境変数にアクセスできることがあり、機密性の高い領域と見なす必要があります。このような変数は、悪意のあるコードによってメモリに読み取ることができます。

要約すると、カスタム コードまたはコマンドを実行するということは、そのコードの動作のリスクを負うことを意味します。信頼性が高く、レビュー済みのコードのみをデプロイし、コーディングの安全なプラクティスに従う必要があります。

MCP を使用すると、これらの特定のコンポーネント以外の範囲でも責任共有モデルが導入されます。このモデルでは、UiPath がプラットフォームのセキュリティ (分離された実行コンテナー、保存中のデータの暗号化、ネットワーク保護、クラウド プラットフォームにおけるコンプライアンス認定) を提供しますが、接続する外部システムと実行するコンテンツのセキュリティはお客様の側の責任で確保する必要があります。以下のセクションでは、このお客様の側の責任を果たす上でのベスト プラクティスの概要を説明します。

推奨されるセキュリティ プラクティス

MCP 連携を安全に使用し、コンプライアンス要件を満たすには、次のベスト プラクティスを実装します。

1. シークレットの安全な処理 (リモート サーバーのヘッダーとアセット)

機密性の高いシークレット (API キー、トークン、資格情報) をリモート サーバー構成に直接保存しないことを強くお勧めします。このプラットフォームでは保存中のシークレット ヘッダー値は暗号化され、UI 上ではマスクされますが、このアプローチは理想的ではありません。構成内のシークレットはログに表示されたり、誤って公開されたりする可能性があり、指定されたシークレット ヘッダー以外のフィールドは暗号化されません。機密データは、URL、クエリ パラメーター、要求本文などのフィールドにプレーン テキストで配置しないでください。

推奨されるアプローチ

「Secret」タイプの Orchestrator アセットを使用して機密キーを管理し、リモート サーバーのヘッダーまたはパラメーターで参照します。

たとえば、MY_API_KEY という名前のアセットに API キーを格納します (Orchestrator では、アセットが既定で保存時に暗号化されます)。リモート サーバーのヘッダー構成では、キー値を入力する代わりに、プレースホルダー参照を使用します (例: Authorization: Bearer %Assets/MY_API_KEY%)。エージェントを実行すると、このプレースホルダーが実行時に実際のシークレットに置き換えられます。

これにより、シークレットがリモート サーバーの設定にプレーン テキストで保存されることはなく、アセット コンテナーに安全に保持されます。UI には、マスクされたプレースホルダーのみが表示されます。この方法は、シークレットを誤って公開してしまうことを防ぎ、資格情報をハードコーディングしないという原則にも一致します。

結論: エージェントのコードと構成にシークレットを記載しないようにします。シークレットは、Secure Store で一元管理します。API キーを定期的にローテーションし、コードや HTTP 要求にシークレットを直接埋め込まないようにします。

2. 信頼されたエンドポイントとネットワーク制御 (リモート サーバーの設定)

リモート サーバーの構成では、信頼できる外部エンドポイントにのみそのサーバーを接続します。各リモート サーバーは、セキュリティ、プライバシー、コンプライアンスを組織が審査済みのドメインやサービスを指している必要があります。サードパーティの新しい API やサービスをベンダーとして扱い、それが自社のセキュリティ基準に適合していることを確認します (たとえば、適切な認証を取得していること、暗号化を適用していること、データを適切に処理していることを確認します)。

すべての外部呼び出しに HTTPS を使用します。転送中のトラフィックが暗号化されるように、常に https:// 形式の URL を指定してください。接続には TLS 1.2 以降を適用します。プラットフォームは既定で TLS 経由で通信します。お客様は、エンドポイントで有効な証明書と強力な暗号化が使用されていることを確認する必要があります。傍受される可能性があるため、エージェントの通信にプレーンな HTTP は絶対に使用しないでください。

重要なポイント: 外部呼び出しを IT 環境の拡張機能として扱います。外部サービスのセキュリティを検証し (SSL/TLS が有効化されていること、証明書が自己署名や期限切れではないことなど)、信頼できる外部サービスにのみデータを送信します。侵害されたエンドポイントや不正なエンドポイントには、データが盗まれるリスクや有害な応答が挿入されるリスクがあるため、外部サーバーに対するデュー デリジェンスが重要です。

3. コード化されたサーバー/コマンド サーバーの安全な実行 (信頼されたコードのみ)

コード化されたサーバーとコマンド サーバーの場合、セキュリティは実行するコードに大きく依存します。信頼されていないコードやサードパーティのコードを、徹底的なレビューなしに実行しないでください。エージェント コンテナーは、UiPath API (および場合によってはその他の連携) を呼び出すことができるアクセス トークンを使用してコードを実行します。悪意のあるコードは、このベアラー トークンやその他の環境シークレットをキャプチャして漏洩したり、プラットフォーム API を介して破壊的なアクションを実行したりする可能性があります。また、コンテナー ランタイムの悪用を試みる可能性もありますが、UiPath のサーバーレス コンテナーは分離されており、既定では管理者特権では実行されません。

このリスクを軽減するには、以下の手順に従います。

• 内部コード レビューとソース検証を使用します。オープン ソースのライブラリやサンプルをコード化されたエージェントに組み込む場合は、そのコードにセキュリティ上の問題 (バックドア、データ窃取ロジックなど) がないか確認してください。ライブラリは、信頼できる公式のパッケージ リポジトリからのみ取得してください。
• コードと依存関係をスキャンして脆弱性を検出します。エージェント コードに対して静的アプリケーション セキュリティ テスト (SAST) を実施し、使用するすべてのパッケージに対して依存関係脆弱性スキャナー (OWASP Dependency Check、Snyk など) を使用します。これにより、デプロイの前に既知の欠陥 (リモートでコードを実行できるパッケージなど) を検出できます。ライブラリには常に新たな脆弱性が発生する可能性があるため、継続的なスキャンをお勧めします。
• コードで実行できることを制限します。コンテナーはエフェメラルですが、防御的にコーディングする必要があります。たとえば、検証されていない入力をコードに渡すことは避けてください (インジェクション攻撃を防ぐため)。基本的に、コンテナー内の攻撃対象領域を最小限に抑えます。コードは、理想的には意図した機能のみを実行し、それ以上のものを実行するべきではありません。
• 環境変数とファイル システムへのアクセスに注意します。コンテナーからアクセス可能なシークレット (たとえば、エージェントの認証トークンや環境変数で渡されるその他の認証情報) はすべて、コードで読み取ることができると想定してください。これらの値をログに記録したり、外部の場所に送信したりしないでください。また、コンテナーを一時的なストレージとして使用することはできますが、機密情報を不必要にディスクに書き込まないようにし、もし書き込んだ場合は、完了する前に削除してください。

まとめると、エージェントのコード実行環境は、機密性の高いアクセスを保持する運用サーバーと同じように扱い、信頼できるコードのみを実行し、コーディングの安全なプラクティスに従い、セキュリティ テストを実行します。UiPath のプラットフォームでは、セキュリティで保護されたサンドボックスを提供し、アカウントのコンテキスト下でコードが実行されるようにしますが、コードのロジックをきめ細かいレベルで検査したりサンドボックス化したりすることはありません。その責任はお客様が負うものとします。

4. データの処理とプライバシー

やむを得ない場合を除き、機密データを外部ツールに送信しないようにします。UiPath Platform から外部の API やサービスに送信するデータは、漏洩するリスクにさらされると見なす必要があります。可能であれば、個人データや規制対象情報を、リモート サーバーに送信する前にマスク処理または墨消し処理します。たとえば、外部の AI API を使用してエージェントで顧客データを要約する場合は、プロンプトの中で識別子を削除するか匿名化することを検討します。このようにデータを最小化すれば、プライバシー規制 (GDPR、HIPAA など) に準拠していない可能性があるシステムには保護されたデータが公開されなくなるので、このような規制に確実に準拠できます。

機密情報の送信を必要とする場合は、送信先の外部プロバイダーがデータ保護を契約で保証していることを確認します (データを保存しないことや他の目的では使用しないことなど)。外部サービスでのデータ保管場所を確認します。この確認を怠ると、無関係な地域のエンドポイントへのデータ送信が自社のポリシーに違反する行為となる可能性があります。組織のコンプライアンス要件に適合するように外部エンドポイントを利用します (たとえば、SOC 2 や ISO 27001 など、業界に関連する認証をサードパーティ サービスが取得していることを確認します)。

UiPath Platform 内では、ツールの使用状況やツールに渡されるデータなど、すべてのエージェント アクティビティが可能な範囲でログに記録されます。これらのログを活用して、意図しないデータが送信されないようにします。エージェントが処理し、外部に送信している情報を定期的に確認してください。たとえば、エージェントがリモート サーバーへの要求に社会保障番号を含めていることがわかった場合は、そのようなデータをハッシュまたは削除するようにエージェントのロジックを修正することを検討してください。

コード化された/コマンド MCP サーバーを使用する場合、ログ記録はお客様の責任の範囲内にあります。個人を識別できる情報 (PII) やセキュリティ情報などの機密データは絶対にログ記録しないでください。

また、外部サービスからの出力データにも注意してください。外部の AI やスクリプトが機密情報 (または悪意のあるコンテンツ) を返す可能性があります。可能な場合は、出力の検証を実装します。たとえば、リモート サーバーが意思決定で使用される応答を返す場合は、応答が期待される形式と範囲であることを確認してください。これにより、外部システムからの操作や予期しない動作から保護されます。

つまり、外部連携をコンプライアンスのためのデータ フロー ダイアグラムの一部として扱い、どのデータがどのサービスを経由してプラットフォームから送信されるかを記述します。これは、リスク評価と監査に役立ちます。タスクに必要最小限の情報を共有することを常に優先します (データの Need to Know の原則)。

5. アクセス制御

MCP 連携の構成や利用を目的としたアクセス自体を厳密に制御する必要があります。管理者または信頼性が高いユーザーのみが、リモート サーバー、コード化されたサーバー、コマンド サーバーの構成を作成または変更できるようにします。Orchestrator のロールベースのアクセス制御 (RBAC) を活用して、このような機能を制限します。たとえば、「エージェント連携マネージャー」に固有のロールを設定し、そのロールをセンター オブ エクセレンスまたは IT セキュリティ チームのメンバーにのみ割り当てます。これにより、通常のオートメーション開発者やビジネス ユーザーが安全ではない接続を誤って追加することや、任意のコードを実行することを防止できます。追加したすべての新しい MCP サーバーやエージェント ツールは、レビュー プロセスを経たうえで使用する必要があります。

ロールと権限を割り当てるときは、最小特権の原則を適用します。ユーザーが自分の仕事に必要な操作のみを実行できるようにする、スコープを絞ったロールを定義します。たとえば、エージェントが特定のデータの読み取りや特定のプロセスの実行のみを必要とする場合は、そのエージェントを実行するアカウントが、他のデータや管理機能に広くアクセスできないようにします。完全な Orchestrator の管理アカウントでエージェントを実行することは避けてください。代わりに、最小限の権限を持つ専用のサービス アカウントを使用します。これにより、エージェントのトークンが侵害された場合でも、潜在的な損害はそのアカウントの範囲内に限られます。

エージェントの実行ログを監視します。エージェントによるすべてのツールの使用状況は、一貫した方法で追跡および記録されます。これらのログを確認することで、異常 (エージェントが通常は呼び出ししないエンドポイントを呼び出したり、異常な時間に実行したりしているなど) を検出できます。

MCP サービス構成で、以下のように定期的なコンプライアンス チェックを実行するのが賢明です。構成されたすべてのリモート サーバーのリストをエクスポートし、それらが承認済みリストにあることを確認します。どの説明やフィールドにも資格情報が公開されていないことを確認します。すべてのコード化されたサーバーとコマンド サーバーが、セキュリティ レビューに合格したコードに対応していることを確認します。IT アセットのインベントリと同様に、これらの「エージェント ツール」のインベントリを維持します。

最後に、インシデント対応計画が MCP サービス シナリオをカバーしていることを確認します。たとえば、外部エンドポイントが侵害されたり、API キーが漏洩したりした場合に、そのリモート サーバーを素早く無効化するか、資格情報をローテーションする手順を用意します。UiPath は統合エンタープライズ環境の一部となるため、セキュリティ チームはこれらの機能に精通し、脅威モデルや対応訓練に含める必要があります。

アクセスを制御し、アクティビティを監視し、異常があれば迅速に調査することで、責任共有モデルにおけるお客様の側の役割を果たすことになります。つまり、プラットフォームの強力な機能の使用方法に関するセキュリティとコンプライアンスを維持することができます。

責任の分離 (UiPath とお客様)

MCP を使用するには、UiPath とお客様との間に責任共有モデルが必要です。以下の表は、セキュリティのどの側面に UiPath Platform が対応し、どの側面がお客様の責任であるかをまとめたものです。

表 1. UiPath の責任とお客様の責任

領域	UiPath の責任	お客様の責任
プラットフォームのセキュリティ	エージェントを実行する際のクラウド インフラストラクチャとコンテナーとの分離をセキュリティで保護します。UiPath Cloud の中で、転送中 (TLS) および保存中のデータを暗号化します。プラットフォームの中で、ロールベースのアクセス制御 (RBAC) と認証を実施します。	プラットフォームを安全に使用します。プラットフォームへのアクセスを許可された担当者に制限します。最小特権の原則に従ってロールと権限を設定します。プラットフォームが接続する外部エンドポイントを保護します (適切なセキュリティ制御、認証、コンプライアンスの認定を受けていることを確認します)。承認されたトラフィックのみが UiPath との間で送受信されるように、ネットワーク制御を管理します。
資格情報の管理	Orchestrator のアセットや Integration Service に保存する資格情報を暗号化します。アセットにあるシークレットをプラットフォームによって秘匿状態にし、保護します。実行時に資格情報を安全に挿入します (たとえば、%Assets/KEY% を置き換えます)。シークレットがプラットフォームによってログやプレーンテキストに保持されないようにします。	シークレットを確実に保存し、管理します。用意された Secure Store (アセットなど) を使用し、コードや構成にシークレットをハードコーディングしないようにします。外部資格情報を定期的にローテーションし、使用されていないキーはすべて削除します。サードパーティのサービスを使用している場合は、そのサービス側で API キーやトークンを管理します (たとえば、侵害されたキーやトークンを取り消します)。エージェントに公開したシークレットが (一時的な公開であっても)、そのユーザー側で慎重に扱われるようにします (たとえば、他の場所で再利用されないようにします)。
実行環境	コード化された/コマンド サーバー用に、分離されたエフェメラル コンテナーを用意します。各実行にスコープを持つベアラー トークンが設定されており、他のテナントやホスト OS に直接影響しないことを確認します。監査のためにエージェント ツールのアクションをログ記録します。タイムアウトとリソース制限を適用して、制御不能なコードの影響を軽減します。	コードの安全性と整合性。安全で必要なコードのみをデプロイします。信頼されていないコードや未検証のコードを実行しないようにします。すべてのカスタム ロジックを検証し、セキュリティ テスト (コード レビュー、脆弱性スキャン) を実施します。データの削除や情報の漏洩など、コードの実行結果に責任を負います。環境変数とコンテナー内のデータにはトークンやプライベート データが記録されている可能性があるため、そのようなデータを機密として扱います。コードやライブラリのあらゆる脆弱性を迅速に修正します (プラットフォームではコードの欠陥を認識できないことから、このような脆弱性はお客様の側で管理する必要があります)。
データの処理	エージェント コンテナーと UiPath サービス間で送受信されるすべてのデータを暗号化します。プラットフォーム内のデータ フローについて、監査ログと監視 (実行したユーザー、実行した処理、実行日時、および入出力がログに記録されたかどうか) を提供します。UiPath Platform 内のデータに対するデータ マスク、セキュリティで保護されたストレージ、顧客管理の暗号化キーなどのコンプライアンス対策をサポートします。	プラットフォームから送出されるデータの保護。どのデータを外部のエンドポイントへ送信できるか、どのデータを外部のコードで処理できるかを決定します。外部システムが承認されていない限り、そこへ送信する PII や PHI をマスクするか、送信しないようにします。外部のエンドポイントがデータの所在地と保持の要件を満たしていることを確認します (UiPath の手を離れたデータのプライバシーに対しては、お客様が責任を負います)。特に機密性の高いデータを外部サービスに送信する場合は、事前に追加の暗号化や匿名化を実装します。
監視と対応	プラットフォーム上のアクション (構成の変更、エージェントの実行、エラー) のログ記録、アラート、監査証跡を一元化します。OpenTelemetry などのインターフェイスを通じて SIEM ツールと統合できるようにします。UiPath のサポートは、プラットフォーム レベルのインシデント (インフラストラクチャの停止、プラットフォームの誤用など) に対応し、調査を容易にするための監査ログを提供します。	使用状況の監視とインシデントへの対応。エージェントの実行ログと監査証跡に異常がないかを定期的に確認します。疑わしいアクティビティ (エージェントによる、通常とは異なる外部呼び出しなど) を検出して対応します。外部連携の侵害や誤用があった場合は、お客様がその連携を無効化して外部側でインシデントに対処する必要があります。外部システムが関与する障害復旧とインシデント対応を計画します (たとえば、必要に応じたキーのローテーションやエンドポイントの切り替えのための Runbook を用意します)。エージェントとの連携に関係するデータ/プロセスのコンプライアンス レポートは、お客様が管理する必要があります (UiPath はプラットフォームの操作に関するデータを提供できますが、エンドツーエンドのプロセスについてはお客様がレポートを作成します)。

この責任の分離は、一般的なクラウド責任共有モデルに沿ったものです。つまり、UiPath はプラットフォームを保護し、お客様はプラットフォームの使用方法とプラットフォームの拡張機能を保護する必要があります。内部ポリシーに MCP の使用が含まれていることを確認してください。たとえば、すべてのサードパーティ連携はセキュリティ部門によって承認される必要があることを定めたポリシーや、すべてのカスタム エージェント コードはセキュリティ レビューを受ける必要があることを定めたポリシーです。これらの責任を果たすことにより、MCP サービスの実装が常に組織のセキュリティ標準に準拠するように徹底します。

推奨される免責事項: MCP サービスおよび MCP を使用して外部のコードやサービスによって UiPath を拡張する場合、それらの外部コンポーネントおよびコンポーネントが処理するデータを保護、管理、保守する責任はお客様単独で負うものとします。UiPath はプラットフォーム内のセキュリティ (暗号化、認証、ログ) を保証しますが、データが UiPath Platform の境界を越えた後は、データを制御することも、データに対する責任を負うこともありません。実際には、これは、外部エンドポイントとカスタム コードをシステムの他の重要な部分と同じように厳密に扱う必要があることを意味します。コンプライアンス チェックは 1 回限りの取り組みではなく、エージェントおよび連携の進化に応じた継続的な義務です。