2026年9月16日、Center for Internet Security（CIS）が「CIS MCP Server Benchmark v1.0.0」を公開しました。MCP（Model Context Protocol）は、AIアシスタントやAIエージェントを、データ、アプリケーション、各種ツールにつなぐ仕組みです。そのサーバーを安全に設定するための指針が、CISのBenchmarkとして初めてまとまりました。本記事では、CISの公式プレスリリースを一次情報として、内容と、社内でMCPを許可する際の使い方を整理します。
1. 何が公開されたのか
- 名称：CIS MCP Server Benchmark v1.0.0
- 公開日：2026年9月16日
- 内容：MCPサーバーを安全に設定するための、コンセンサスに基づく指針
- 規模：10の領域にわたる55件の具体的な推奨事項
- 各推奨事項の構成：根拠（Rationale）、監査手順（Audit procedure）、是正方法（Remediation）
- 入手方法：無料でダウンロードできる
- 前提：現行のMCP仕様に対して策定されている
CISのBenchmarkの一覧には、AIのカテゴリが設けられており、確認した時点で、その最新版として掲載されているのはこのMCP Server（1.0.0）のみでした。
2. なぜMCPサーバーを守る必要があるのか
MCPは、AIエージェントと外部のシステムの間に入り、次のような接続を担います。
| 役割 | 内容 |
|---|---|
| AIエージェント（クライアント） | ユーザーの指示に従って動き、MCPサーバー経由で外部の資源を使う |
| MCPサーバー | AIエージェントと外部の資源の間で接続と操作を仲介する |
| 接続先 | データベース、ファイルシステム、クラウドサービス、ブラウザ、その他の業務システム |
CISは、MCPサーバーが機密性の高いシステムやデータへのアクセスを提供することが多いため、設定の不備が、次のような問題につながりうると述べています。
- 不正アクセス
- データの露出
- ツールの不正な操作
- 信頼できないコードの実行
つまり、MCPサーバーを侵害されると、AIを経由して企業のデータへの入口を取られるおそれがあります。
3. Benchmarkの10領域
| No. | 領域（原文） | 日本語での目安 |
|---|---|---|
| 1 | Governance and Versioning | ガバナンスとバージョン管理 |
| 2 | Transport and Connectivity | 通信と接続 |
| 3 | Authentication and Authorization | 認証と認可 |
| 4 | Client (Host) Configuration | クライアント（ホスト）の設定 |
| 5 | Server Configuration | サーバーの設定 |
| 6 | Data Protection and Privacy | データ保護とプライバシー |
| 7 | Observability and Audit | 可観測性と監査 |
| 8 | Supply Chain Security | サプライチェーンのセキュリティ |
| 9 | Isolation and Execution Safety | 分離と実行の安全性 |
| 10 | Resource Limits and Caching | リソース制限とキャッシュ |
なお、各推奨事項の具体的な内容は、Benchmark本体に書かれています。本記事では、領域の名称までを確認しています。
4. 対象範囲の特徴
- ローカルとリモートの両方：手元で動かすMCPサーバーだけでなく、リモートのMCPサーバーも対象
- ゲートウェイとプロキシも対象：AIと外部の資源の間の接続を保護・管理するために使われる技術まで含む
- 検証しやすい形式：各推奨事項に監査手順があり、評価や監査に使える
CISのクラウドチームのディレクターであるErin Haggerty氏は、AIエージェントの採用が進む中、それらを企業の資源につなぐシステムの保護が不可欠だと述べています。
5. どこから読むか（筆者の考察）
55件すべてを最初から読む必要はありません。以下は、社内でMCPの利用を検討する立場から見た、筆者の優先順位です。
| 優先 | 領域 | 理由 |
|---|---|---|
| 1 | Authentication and Authorization（認証と認可） | 誰が、どのAIが、何を呼び出せるかの土台になるため |
| 2 | Data Protection and Privacy（データ保護とプライバシー） | AIを通じて機密データが流出する経路を抑えるため |
| 3 | Isolation and Execution Safety（分離と実行の安全性） | 侵害された場合の被害範囲を限定するため |
| 4 | Observability and Audit（可観測性と監査） | 何が起きたかを追跡し、後から検証できるようにするため |
社外で作られたMCPサーバーを使う場合は、Supply Chain Security（サプライチェーンのセキュリティ）も早めに確認するのがよいと考えます。
6. 社内でMCPを許可する際の基準に使う（筆者の考察）
このBenchmarkは、MCPサーバーの設定に関する指針です。社内でMCPを許可する際のセキュリティ基準のたたき台として活用しやすい一方、それだけで基準が完成するわけではありません。次の流れで使うのが現実的です。
- 社内で使われている（使われそうな）MCPサーバーを棚卸しし、ローカル、リモート、ゲートウェイ、プロキシに分類する
- 許可の条件を決める。認証と認可、データ保護、分離、監査を必須の観点にする
- Benchmarkの推奨事項から、自社に必要なものを選び、社内基準に取り込む
- 導入前に、Benchmarkの監査手順で、設定が基準を満たすか確認する
- MCPの仕様やBenchmarkの改訂に合わせて、基準を見直す（Governance and Versioningの領域が参考になる）
あわせて、誰がどのMCPサーバーを申請でき、誰が承認するかという運用ルールも必要です。これはBenchmarkの範囲外なので、自社で決める必要があります。
7. 関連する話題（筆者の考察）
- MCPサーバーは、接続先のAPIキーやトークンを扱うことがあります。これらは非人間ID（NHI）として、所有者の明確化やローテーションの対象にするのが望ましいと考えます。SpyCloud 2026 Identity Threat Report解説：NHI（非人間ID）が侵入口の首位に、IAMの管理対象を広げるもご覧ください
- AIが接続するデータベース側では、設定の堅牢化と、データへの認可の両方が重要です。CIS Benchmarks 2026年8月更新を読み解く：クラウドDBのハードニングとm-NGACの役割分担とNIST IR 8611「m-NGAC」を解説が参考になります
8. 読むときの注意点
- 本記事の根拠はCISのプレスリリースと公式ページです。55件の推奨事項の中身は確認していません
- v1.0.0は初版です。MCPの仕様や実装の変化に合わせて、今後の改訂が見込まれます
- 対象はMCPサーバーの設定であり、AIエージェント全体のセキュリティを網羅するものではありません
- 第5章の優先順位と第6章の活用手順は筆者の考察であり、CISが示した順序や手順ではありません
まとめ
- CISは、2026年9月16日に、MCPサーバーの安全な設定に関する初のBenchmark（v1.0.0）を公開した
- 10領域55件の推奨事項があり、各項目に根拠、監査手順、是正方法が付く
- ローカルとリモート、ゲートウェイやプロキシも対象に含む
- 社内でMCPを許可する際の基準のたたき台になるが、運用ルールは別に決める必要がある
- まずは認証と認可、データ保護、分離、監査の領域から確認するのが現実的