MCPのセキュリティと利用方法
AIアシスタントがModel Context Protocolを通じてX-Analyticsにどのように接続し、そのアクセスで何が可能になるかについて。
X-AnalyticsのMCP(Model Context Protocol)サーバーを使用すると、Claudeなどの承認されたAIアシスタントが、お客様に代わって組織のサイバーリスクデータを安全に扱えるようになります。アクセスはお客様の明示的な同意がある場合にのみ許可され、お客様自身の組織に限定され、いつでもお客様が取り消すことができます。
このページでは、AIクライアントが接続するX-Analytics MCPサーバーについて説明します。CrowdStrike、Tenable、DrataのデータをX-Analyticsに取り込む受信側のMCPコネクタについては、MCPコネクタをご覧ください。
接続方法
各組織は専用のURLで接続します。このURLは製品内の アカウント設定 → コネクタ からご確認いただけます。
https://{your-org}.app.x-analytics.com/mcp
AIクライアントにコネクタを追加すると、要求されているアクセス内容を正確に示すX-Analyticsの同意画面に移動します。接続は、お客様が承認した後にのみ確立されます。
コネクタのセットアップ
この手順では、何も設定していない状態から最初のツール呼び出しまでをご案内します。接続にはお客様ご自身のX-Analyticsアカウントを使用します。インストールするものはなく、事前に認証情報を申請する必要もありません。
始める前に
- X-Analyticsアカウントと、接続を承認できるアカウント所有者。
- 組織のMCP URL。手順1で確認できます。
- すべてのX-Analyticsアカウントで二要素認証が必須です。未登録の場合は、初回サインイン時にアプリが手順を案内し、任意の認証アプリで読み取れるQRコードを表示します。
- Streamable HTTP経由のリモートMCPサーバーに対応したAIクライアント（Claude、またはテスト用のMCP Inspectorなど）。
手順
組織のMCP URLを確認する
X-Analyticsにサインインし、
Account Settings → Connectorsを開きます。組織ごとに専用のサブドメインがあるため、必ずご自身のアカウント内に表示されているURLをお使いください。形式は次のとおりです。https://{your-org}.app.x-analytics.com/mcp
AIクライアントにコネクタを追加する
Claudeでは
Settings → Connectors → Add custom connectorを開き、URLを貼り付けてConnectをクリックします。MCP InspectorではStreamable HTTPトランスポートを選択し、同じURLを貼り付けます。事前に認証情報を発行する必要はありません。クライアントはOAuth 2.1の動的クライアント登録によって自動的に登録されます。サインインしてアクセスを承認する
X-Analyticsのサインイン画面にリダイレクトされ、続いて要求内容を明示した同意画面が表示されます。対象となるリスクプロファイルと、3つの権限（サイバーリスクを読み取る、サイバー成熟度レポートを読み取る、フレームワークスコアを設定する）のうちどれが要求されているかが示されます。必要な権限だけを付与してください。権限はツール一覧そのものに適用されるため、付与しなかった権限に属するツールはアシスタントに一切表示されず、呼び出すこともできません。接続はお客様が承認した後にのみ確立されます。
接続を確認する
アシスタントにリスクプロファイルの一覧を依頼してください。
xa_list_profilesが呼び出され、アカウント上のプロファイルが返されるはずです。作業対象にしたいプロファイルを控えておいてください。他のすべての呼び出しはプロファイル単位で実行されます。試してみる
次のプロンプトは、ツールセットのさまざまな部分を利用します。
- 「[プロファイル名]のサイバーリスクはどれくらいですか」
- 「当社の脅威スコアは業界と比べてどうですか」
- 「リスク低減の優先施策は何で、それぞれどれだけの効果がありますか」
- 「NIST CSF 2.0の成熟度と、最も大きなギャップを教えてください」
- 「現在のエクスポージャーを固有のベースラインと比較してください」
フレームワークスコアの更新
書き込みが可能なツールはxa_set_nist_csf_2_scoresとxa_set_cis_8_1_scoresの2つです。いずれもフレームワークスコアを設定する権限が必要で、破壊的操作として注釈が付いており、実行前にAIクライアントが確認を求めます。
送信は設計上つねに部分更新です。含めた項目だけが更新されます。たとえばアシスタントにNISTサブカテゴリGV.OC-01を3に設定するよう依頼すると、そのサブカテゴリだけが変更され、他には影響しません。結果はxa_get_nist_csf_2_scoresで読み戻せます。
トラブルシューティング
制限と管理
- レート制限：連携ごとに毎分600リクエスト。
Account Settings → Connectorsからいつでも取り消せます。取り消しは即時に反映され、サポートへの依頼は不要です。- コネクタの操作は、承認したユーザーに紐づく監査ログに記録されます。
認証とアクセス
- X-AnalyticsのMCPサーバーへの接続はOAuth 2.1で認証されます。APIキーやパスワードによる経路は存在せず、お客様のX-Analytics認証情報がAIクライアントと共有されることはありません。
- 接続されたアシスタントは、承認したユーザーと同じアクセス権を、そのユーザーの組織に限定して受け取ります。他の組織のデータを閲覧したり操作したりすることはできません。
- アクセストークンは短期間のみ有効で、承認された接続に紐づけられています。
コネクタでできること
サーバーは14個のツールを公開しています。うち12個はデータの読み取りのみ、2個は書き込みを行います。すべてのツールに正確な読み取り／書き込みの注釈が付いているため、実行前にAIクライアントがその内容を提示できます。
表示されるツールは、同意時に付与した権限によって決まります。付与しなかった権限に属するツールは一覧に表示されず、呼び出すこともできません。たとえばwrite:framework-scoresがない場合、14個のうち10個のツールが表示されます。
プロファイル
すべての接続で表示されます。このツールにはサインイン以外の権限は不要です。
| ツール | アクセス | 内容 |
|---|---|---|
xa_list_profiles | 読み取り | アカウントで利用できるリスクプロファイル。 |
サイバーリスクを読み取る
read:cyber-risk共有したプロファイルについて、サイバーリスクの合計、ベースライン、推移、脅威スコア、損失シナリオ、リスク低減の機会を参照します。
| ツール | アクセス | 内容 |
|---|---|---|
xa_get_cyber_risk | 読み取り | プロファイルの現在の金額ベースのサイバーエクスポージャー。カテゴリ、資産グループ、脅威別の内訳付き。 |
xa_get_cyber_risk_baseline | 読み取り | 統制適用前の固有エクスポージャーと、低減後の数値を並べて表示します。その都度計算するため、ほかの読み取りより低速です。 |
xa_get_cyber_risk_trends | 読み取り | エクスポージャー、統制の有効性、脅威スコアの推移を月次・四半期で表示します。 |
xa_get_threat_scores | 読み取り | プロファイルの脅威スコア。業界との比較を含みます。 |
xa_get_loss_scenarios | 読み取り | エクスポージャーの算出根拠となる損失シナリオを、発生確率と影響とともに表示します。 |
xa_get_risk_reduction_opportunities | 読み取り | エクスポージャーの低減効果が大きい順に並べた施策と、それぞれの想定低減幅。 |
サイバー成熟度レポートを読み取る
read:cyber-maturity共有したプロファイルについて、NIST CSF 2.0およびCIS Controls v8.1の成熟度レポートと、統制全体の有効性を参照します。
| ツール | アクセス | 内容 |
|---|---|---|
xa_get_nist_csf_2_report | 読み取り | NIST CSF 2.0成熟度レポート：全体の適合度とティアを、機能別・カテゴリ別に表示します。 |
xa_get_cis_8_1_report | 読み取り | CIS Controls v8.1成熟度レポート：全体の適合度と実装グループを、機能別・コントロール別に表示します。 |
xa_get_control_effectiveness | 読み取り | プロファイルの統制全体の有効性と、利用中のフレームワークを横断したコントロール別の内訳。 |
フレームワークスコアを設定する
write:framework-scoresNIST CSF 2.0およびCIS Controls v8.1のフレームワークスコアを送信・更新・参照します。この1つの権限が、読み取り専用の2つを含む4つのツールすべてを制御します。
| ツール | アクセス | 内容 |
|---|---|---|
xa_get_nist_csf_2_scores | 読み取り | プロファイルに対して送信済みのNIST CSF 2.0サブカテゴリスコアを読み取ります。 |
xa_get_cis_8_1_scores | 読み取り | プロファイルに対して送信済みのCIS Controls v8.1セーフガード成熟度を読み取ります。 |
xa_set_nist_csf_2_scores | 書き込み | NIST CSF 2.0サブカテゴリスコアを送信または更新します。部分送信では、含めなかった項目は変更されません。 |
xa_set_cis_8_1_scores | 書き込み | CIS Controls v8.1セーフガード成熟度を送信または更新します。部分送信では、含めなかった項目は変更されません。 |
コネクタを通じて、アカウント内のこれ以外の情報が変更されることはありません。2つの書き込みツールが設定するのはフレームワークの成熟度スコアのみで、対象はすでに編集権限をお持ちのプロファイルに限られ、変更されるのは送信に含めた項目だけです。
ツール一覧の最終確認日：。確定的な一覧は、つねに接続後にAIクライアントが表示するものです。
アクセスの管理と取り消し
サポートへの依頼なしに、すべての接続をお客様自身で管理できます。接続済みのアシスタントを確認または取り消すには、アカウント設定 → コネクタ に移動して切断してください。取り消しは即座に反映され、稼働中のセッションはただちに使用できなくなります。
データとプライバシー
- データは転送中および保存時に暗号化され、組織ごとに分離して管理されます。
- コネクタを通じて取得された情報は、お客様が選択したAIアシスタントに送信され、その後はX-Analyticsが管理しない当該アシスタント提供元独自の規約およびプライバシーポリシーに基づいて処理されます。アシスタントに何を取得させるかについては十分にご確認ください。
- X-Analyticsは、MCPサーバーを通じてアクセスされたデータをAIモデルの学習に使用することはありません。
個人データの取り扱いについて詳しくは、プライバシーポリシーをご覧ください。
app.x-analytics.com上の公式X-Analyticsサーバーにのみ接続し、信頼できるAIクライアントのみをご使用ください。コネクタが正規のものかご不明な場合は、アクセスを承認する前にアカウント内でURLをご確認ください。