Us Compliance MCP

🚀 US規制MCPサーバー

AI時代における米国のコンプライアンス対応をサポートします。

Claude、Cursor、またはその他のMCP互換クライアントから直接、HIPAA、CCPA、SOX、GLBA、FERPA、COPPA、FDA 21 CFR Part 11、FDA 21 CFR 820 (QSR/QMSR)、FDAの事前承認および事後のサイバーセキュリティガイドライン、FD&C法第524B条 (PATCH法)、CIRCIA、EPA RMP、FFIEC、NYDFS 500、および4州のプライバシー法 (バージニア州CDPA、コロラド州CPA、コネチカット州CTDPA、ユタ州UCPA) を照会できます。

米国市場向けのヘルスケアテクノロジー、消費者向けアプリ、または金融サービスを開発している場合、これがあなたのコンプライアンスリファレンスになります。

Ansvar Systemsによって構築されました — スウェーデン、ストックホルム

✨ 主な機能

米国のコンプライアンス関連情報は、regulations.govのPDF、eCFR.govのページ、州の立法サイト、および政府機関のガイダンス文書に散在しています。以下のような立場の方にとって、このMCPサーバーは非常に便利です。

• 開発者：HIPAAのセキュリティコントロールやCCPAの消費者権利を実装する際
• プロダクトチーム：複数の州にまたがる違反通知要件を理解する際
• コンプライアンス担当者：NISTのコントロールを規制義務にマッピングする際
• 法律研究者：連邦法と州法のインシデント対応タイムラインを比較する際

このMCPサーバーを使えば、断片的な連邦政府機関、50州の立法機関、および矛盾するPDF形式をナビゲートする必要がなくなります。Claudeに質問するだけで、正確なセクションをコンテキスト付きで取得できます。

このMCPサーバーにより、米国の規制が検索可能、相互参照可能、AI読み取り可能になります。

🚀 クイックスタート

リモートでの使用 (インストール不要)

ホストされているバージョンに直接接続できます — 依存関係は一切なく、インストールするものもありません。

エンドポイント: https://us-regulations-mcp.vercel.app/mcp

Claude Desktop — claude_desktop_config.jsonに追加:

{
  "mcpServers": {
    "us-regulations": {
      "type": "url",
      "url": "https://us-regulations-mcp.vercel.app/mcp"
    }
  }
}

GitHub Copilot — VS Codeのsettings.jsonに追加:

{
  "github.copilot.chat.mcp.servers": {
    "us-regulations": {
      "type": "http",
      "url": "https://us-regulations-mcp.vercel.app/mcp"
    }
  }
}

ローカルでの使用 (npm)

npx @ansvar/us-regulations-mcp

Claude Desktop — claude_desktop_config.jsonに追加:

macOS: ~/Library/Application Support/Claude/claude_desktop_config.json Windows: %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "us-regulations": {
      "command": "npx",
      "args": ["-y", "@ansvar/us-regulations-mcp"]
    }
  }
}

Cursor / VS Code:

{
  "mcp.servers": {
    "us-regulations": {
      "command": "npx",
      "args": ["-y", "@ansvar/us-regulations-mcp"]
    }
  }
}

🔧 セキュリティとコンプライアンス

このMCPサーバーは、安全なオープンソース開発のためのOpenSSFベストプラクティスに従っています。

• ✅ 自動セキュリティスキャン

  • CodeQL (セマンティックコード分析)
  • Semgrep (SASTセキュリティルール)
  • Trivy (脆弱性スキャン)
  • Gitleaks (シークレット検出)
  • Socket Security (サプライチェーン監視)

• ✅ 毎日の新鮮さ監視

  • 公式ソースからの規制更新の自動チェック
  • 変更が検出された場合の自動PR生成

• ✅ 安全な公開

  • npmのプロバナンスアテステーション (署名付きパッケージ)
  • MCPレジストリの暗号化署名
  • Azure Key Vaultによるシークレット管理

• ✅ セキュリティ指標

  • OpenSSF Scorecardの毎週の評価
  • GitHubセキュリティタブによる脆弱性追跡

セキュリティ問題の報告: SECURITY.mdを参照してください。

💻 使用例

接続後は、自然な質問をするだけです。

ヘルスケアとHIPAA

• "HIPAAのアクセスコントロールに関するセキュリティルールの要件は何ですか？"
• "私のテレメディスンアプリはHIPAAに準拠する必要がありますか？"
• "HIPAAは電子保護健康情報 (ePHI) のアクセスに対してどのような監査ログを要求していますか？"
• "HIPAA違反を報告する期限はどれくらいですか？"

プライバシーとCCPA

• "HIPAAとCCPAの違反通知タイムラインを比較してください。"
• "CCPAはデータ削除に関して消費者にどのような権利を与えていますか？"
• "10,000人のカリフォルニア州の顧客がいる場合、CCPAに準拠する必要がありますか？"
• "CCPAにおける「個人情報の販売」とは何ですか？"

金融とSOX

• "SOX第404条はどのようなITコントロールを要求していますか？"
• "どのNIST 800-53コントロールがSOX監査要件を満たしますか？"
• "SOXの下で金融記録を保存する必要がある期間はどれくらいですか？"
• "SOXの内部コントロール評価の要件は何ですか？"

金融サービスとGLBA

• "GLBAの顧客データ保護に関するセーフガードルールの要件は何ですか？"
• "HIPAA、GLBA、およびSOXの暗号化要件を比較してください。"

銀行とFFIEC

• "FFIECの情報セキュリティガバナンスに関するガイドラインは何ですか？"
• "FFIECはビジネス継続計画に対して何を要求していますか？"
• "FFIECのサイバーセキュリティ要件とNYDFS 500を比較してください。"

ニューヨーク金融サービスとNYDFS

• "NYDFS 500の多要素認証に関する要件は何ですか？"
• "サイバーセキュリティイベントをNYDFSに通知する必要があるのはいつですか？"
• "NYDFS 500の下でのペネトレーションテストの要件は何ですか？"
• "GLBAはどのような情報セキュリティプログラム要素を要求していますか？"

州のプライバシー法 - バージニア州CDPA

• "バージニア州CDPAは消費者にどのような権利を与えていますか？"
• "バージニア州CDPAの下でのデータ保護評価の要件は何ですか？"
• "CCPAとバージニア州CDPAのオプトアウトメカニズムを比較してください。"

州のプライバシー法 - コロラド州CPA

• "コロラド州CPAの下でのユニバーサルオプトアウトメカニズムは何ですか？"
• "コロラド州CPAはデータ主体にどのような権利を与えていますか？"
• "コロラド州CPAのデータコントローラとデータプロセッサの要件を比較してください。"

州のプライバシー法 - コネチカット州CTDPA

• "コネチカット州CTDPAのデータ保護評価の要件は何ですか？"
• "CCPAとコネチカット州CTDPAの消費者権利を比較してください。"
• "コネチカット州法の下で適用される敏感なデータ処理の制限は何ですか？"

州のプライバシー法 - ユタ州UCPA

• "ユタ州UCPAの消費者プライバシー権利は何ですか？"
• "ユタ州UCPAのデータコントローラの義務と免除事項は何ですか？"
• "ユタ州UCPAと他の州のプライバシー法を比較してください。"

教育とFERPA

• "FERPAは学生記録のアクセスに対してどのような要件を課していますか？"
• "FERPAの下で、学生データをサードパーティの分析ツールと共有することはできますか？"
• "学生のディレクトリ情報を開示するために必要な親の同意は何ですか？"

子どものプライバシーとCOPPA

• "COPPAの下で許容される親の同意メカニズムは何ですか？"
• "13歳未満の子どもから個人情報を収集するためのCOPPAの要件は何ですか？"
• "子ども向けモバイルアプリにCOPPAの準拠が必要ですか？"

製薬とFDA

• "FDA 21 CFR Part 11の電子署名に関する要件は何ですか？"
• "21 CFR Part 11の下で臨床試験データを検証する必要がある方法は何ですか？"
• "製薬業界における電子記録に適用される監査トレイルの要件は何ですか？"

医療機器のサイバーセキュリティ

• "FDAの事前承認申請におけるSBOMに必要なものは何ですか？"
• "第524B条の下での「サイバーデバイス」とは何ですか？"
• "FDAは医療機器に対してどのような脅威モデリングアプローチを要求していますか？"

環境とEPA

• "どの化学施設がEPAのリスク管理計画を提出する必要がありますか？"
• "EPA RMPは事故防止に対してどのような要件を課していますか？"
• "施設のEPA RMPを更新する必要がある頻度はどれくらいですか？"

規制間の分析

• "HIPAA、CCPA、およびSOXのインシデント対応要件を比較してください。"
• "カリフォルニア州のフィンテック企業に適用される規制はどれですか？"
• "NIST CSFを私たちのHIPAAとSOXの義務にマッピングしてください。"
• "すべての規制にわたるデータ保持要件は何ですか？"

📚 ドキュメント

v1.2の規制 (合計20、約192セクション)

ヘルスケアとプライバシー:

• HIPAA - 健康保険の可搬性と説明責任に関する法律

  • プライバシールール (45 CFR Part 164 Subpart E)
  • セキュリティルール (45 CFR 164 Subpart C)
  • 違反通知ルール (45 CFR 164 Subpart D)

• CCPA/CPRA - カリフォルニア州消費者プライバシー法 / プライバシー権利法

  • カリフォルニア州民法 §1798.100 - 1798.199
  • 消費者の権利と事業者の義務

金融サービス:

• SOX - サーベインズ・オクスリー法

  • 主要な法条 (第101条、第201条、第301条、第302条、第404条、第409条、第802条、第806条、第906条)
  • SECの施行規則 (17 CFR 229.308、240.13a - 14、240.13a - 15)
  • PCAOBの監査基準 (AS 2201)
  • IT全般コントロールのガイダンス

• GLBA - グラム・リーチ・ブライリー法のセーフガードルール (v1.1で追加)

  • 16 CFR Part 314
  • 金融機関のデータセキュリティ要件

教育:

• FERPA - 家族教育権利とプライバシー法 (v1.1で追加)
  • 34 CFR Part 99
  • 学生の教育記録のプライバシー

子どものプライバシー:

• COPPA - 子どものオンラインプライバシー保護法 (v1.1で追加)
  • 16 CFR Part 312
  • 13歳未満の子どもからデータを収集するための要件

製薬と医療機器:

• FDA 21 CFR Part 11 - 電子記録と署名 (v1.1で追加)
  • FDA規制対象産業における電子記録の保持とデジタル署名
• FDAの事前承認サイバーセキュリティガイドライン - 医療機器のサイバーセキュリティ (新規)
  • 安全な製品開発フレームワーク (SPDF)、脅威モデリング、SBOM要件
  • サイバーデバイスの定義 (第524B条)、OTSソフトウェア、および事前承認申請内容をカバー
• FDAの事後サイバーセキュリティガイドライン - 事後管理 (新規)
  • 管理されたリスクと管理されていないリスクの評価、CVD、ISAOへの参加、SBOMのメンテナンス
  • 脆弱性監視、修復タイムライン、およびFDAへの報告要件
• FD&C法第524B条 (2022年PATCH法) - 法定サイバーセキュリティ要件 (新規)
  • サイバーデバイスの定義、必須のSBOM、事前承認サイバーセキュリティ計画
  • 非準拠申請に対するFDAの受理拒否権限 (2023年3月から有効)
• FDA 21 CFR Part 820 (QSR/QMSR) - 品質システム規制 (新規)
  • 設計コントロール (820.30)、CAPA (820.90/820.100)、ソフトウェア検証 (820.70(i))
  • QMSRの改正 (2026年2月2日から有効) はISO 13485:2016と整合性があります

重要インフラとインシデント報告:

• CIRCIA - 2022年重要インフラのサイバーインシデント報告法 (新規)
  • 72時間以内のサイバーインシデント報告と24時間以内の身代金支払い報告をCISAに行う
  • 16の重要インフラセクター (ヘルスケア、金融、ITなど) に属する事業者に適用
  • 最終施行規則は2026年3月を予定

環境と化学物質安全:

• EPA RMP - リスク管理計画ルール (v1.1で追加)
  • 40 CFR Part 68
  • 化学施設の事故防止

銀行と金融機関:

• FFIEC - IT検査ハンドブック (v1.1で追加)
  • 連邦金融機関検査協議会のガイドライン
  • 銀行の情報セキュリティとサイバーセキュリティ

州の金融サービス:

• NYDFS 500 - ニューヨーク州金融サービス局のサイバーセキュリティ規制 (v1.1で追加)
  • 23 NYCRR 500
  • ニューヨーク州の金融サービス機関のサイバーセキュリティ要件

州のプライバシー法:

• バージニア州CDPA - 消費者データ保護法 (v1.2で追加)

  • バージニア州法典 Ann. §59.1 - 575から59.1 - 585
  • 消費者のプライバシー権利と事業者の義務

• コロラド州CPA - コロラド州プライバシー法 (v1.2で追加)

  • C.R.S. §6 - 1 - 1301から6 - 1 - 1313
  • ユニバーサルオプトアウトメカニズムの要件

• コネチカット州CTDPA - コネチカット州データプライバシー法 (v1.2で追加)

  • コネチカット州一般法 §42 - 515から42 - 524
  • データ保護評価の要件

• ユタ州UCPA - ユタ州消費者プライバシー法 (v1.2で追加)

  • ユタ州法典 Ann. §13 - 61 - 101から13 - 61 - 404
  • 事業者にやさしいプライバシーアプローチ

支払いカード産業:

• PCI DSS - 支払いカード産業のデータセキュリティ標準 (相互参照)
  • PCI DSS v4.0の要件については、security-controls-mcpを参照してください
  • このMCPはPCI SSCの公式要件とテスト手順を提供します

コントロールフレームワークのマッピング

• NIST 800-53 - セキュリティとプライバシーコントロール (改訂版5)
• NIST CSF 2.0 - サイバーセキュリティフレームワーク
• ISO 27001 - 情報セキュリティ管理 (予定)

ロードマップ

開発中の追加規制:

• 州の違反通知法 (50州) - 全米各州の違反報告要件
• FISMA - 連邦情報セキュリティ管理法 - 連邦政府機関のサイバーセキュリティ
• CAN-SPAM - 電子メールマーケティング規制 - 商用電子メールの要件
• 州のプライバシー法 - 追加の州 (モンタナ州、アイオワ州、インディアナ州、テネシー州、オレゴン州) への拡張

詳細なカバレッジ: docs/coverage.md

🎬 動作を確認する

なぜこのサーバーが有効なのか

原文のソーステキスト (LLM処理なし):

• すべての規制テキストは公式ソース (eCFR.gov、カリフォルニア州LegInfo) から取り込まれます。
• SQLite FTS5データベースの行から変更なしでスニペットが返されます。
• LLMによる要約や言い換えは一切行われません — データベースには規制テキストが含まれており、AIの解釈ではありません。
• 注意: HTMLからテキストへの変換では、空白や書式が正規化されますが、内容は保持されます。

スマートなコンテキスト管理:

• 検索では、ハイライトされた一致部分を含む32トークンのスニペットが返されます (コンテキストに安全)。
• セクションの取得時には、トークンの使用量に関する警告が表示されます (一部のセクションは大きい場合があります)。
• 相互参照により、すべてを一度に読み込むことなくナビゲートできます。

技術的なアーキテクチャ:

eCFR/LegInfo HTML → 解析 → SQLite → FTS5 snippet() → MCP応答
                      ↑                    ↑
               書式設定のみ      原文のデータベースクエリ

例: regulations.govとこのMCPの比較

regulations.govの例: HIPAAのPDFをダウンロード → Ctrl+Fで "breach" を検索 → §164.410を読む → Googleで "What's a 'reportable breach'?" を検索 → CCPAを相互参照 → カリフォルニア州のサイトをチェック → SOXについても同じことを繰り返す

このMCP: "HIPAA、CCPA、およびSOXの違反通知要件を比較してください。" → 完了

⚠️ 重要な免責事項

法律上のアドバイス

🚨 このツールは法律上のアドバイスではありません 🚨

このツールは研究および教育目的で規制テキストを提供します。ただし、以下の点に注意してください。

• コントロールのマッピング (NIST 800-53、NIST CSF) は解釈的なガイダンスであり、HHS、NIST、または政府機関の公式な相互参照ではありません。
• 適用規則は一般化されたものであり、法律上の判断ではありません。
• 相互参照は研究の助けとなるものであり、コンプライアンスの義務ではありません。

常に公式ソースを確認し、コンプライアンスの決定には適格な法律顧問に相談してください。

データソースの透明性

📋 ソース品質の開示

Tier 1 - 公式APIソース (信頼できる):

• HIPAA、GLBA、FERPA、COPPA、FDA 21 CFR 11、EPA RMP — eCFR.govの公式API から取得
• CCPA/CPRA — カリフォルニア州LegInfoの公式サイト から取得

Tier 2 - 公式州ソース (HTMLスクレイピング):

• バージニア州CDPA — law.lis.virginia.gov から取得
• コネチカット州CTDPA — cga.ct.gov から取得
• ユタ州UCPA — le.utah.gov から取得
• コロラド州CPA — leg.colorado.gov と照合されたシードデータ

Tier 3 - シードデータ (検証済みだが静的):

• FFIEC ITハンドブック — ffiec.govの小冊子から抽出された検査ガイダンス
• NYDFS 500 — dfs.ny.gov の規制テキスト
• SOX — 法律条文とSECの施行規則

シードデータのソースには公式ソースの帰属と検証日が含まれています。ユーザーは更新のために公式ソースをチェックする必要があります。

コントロールフレームワークのマッピング: HIPAAからNISTおよびCCPAからNISTのマッピングは、コンプライアンス研究を支援する解釈的なガイダンスです。これらは公式の機関の相互参照ではありません。信頼できるマッピングについては、NIST SP 800 - 66および公式の機関のガイダンスを参照してください。

トークンの使用

⚠️ コンテキストウィンドウの警告

一部の規制セクションは大きい場合があります (例: HIPAAのプライバシールールのセクションには広範な解説があります)。MCPサーバーは以下のように動作します。

• 検索ツール: スマートなスニペットを返します (コンテキストに安全)。
• セクション取得ツール: 全文を返します (多くのトークンを消費する可能性があります)。
• 推奨: まず検索を使用し、必要に応じて特定のセクションを取得してください。

Claude Desktopには200kトークンのコンテキストウィンドウがあります。複数の大きなセクションを取得する際には、トークンの使用量を監視してください。

MVPステータス

📋 初期リリース

これは、3つの基本的な規制 (HIPAA、CCPA、SOX) を備えた本番環境で使用可能なMVPです。データベーススキーマとすべての9つのMCPツールは完全に機能し、十分にテストされています (100%のテストカバレッジ)。

データの取り込み: 公式APIソース (eCFR.gov、カリフォルニア州LegInfo) からの自動取り込みが稼働しています。追加の規制がデータベースに追加されています。

近日公開: 追加の連邦規制 (GLBA、FERPA、FISMA) および州の違反通知法。

NIST標準

著作権保護されたNIST標準は含まれていません。 コントロールのマッピングはNIST 800 - 53のコントロールIDのみを参照しています (例: "AC - 1"、"SI - 4")。NIST標準はNISTから無料で入手できますが、このツールは規制をコントロールにマッピングするのに役立ちますが、標準自体を読むことを代替するものではありません。

利用可能なツール

サーバーは9つのMCPツールを提供します。

詳細なツールリファレンス: docs/tools.md

開発

ブランチング戦略

このリポジトリはdev統合ブランチを使用しています。mainに直接プッシュしないでください。

feature-branch → PR to dev → verify on dev → PR to main → deploy

• mainは本番環境で使用可能なブランチです。devからのマージのみを受け付け、PRを通じて行われます。
• devは統合ブランチです。すべての変更は最初にここに反映されます。
• 機能ブランチはdevから作成されます。

前提条件

• Node.js 18以上
• npmまたはyarn

セットアップ

# リポジトリをクローンする
git clone https://github.com/Ansvar-Systems/US_compliance_MCP.git
cd US_compliance_MCP

# 依存関係をインストールする
npm install

# データベーススキーマを構築する
npm run build:db

# シードデータをロードする
npm run load-seed

# TypeScriptコードをビルドする
npm run build

# 開発モードで実行する
npm run dev

利用可能なスクリプト

npm run build        # TypeScriptをdist/にコンパイルする
npm run dev          # tsxを使って開発モードでサーバーを実行する
npm run build:db     # データベーススキーマを初期化する
npm run load-seed    # テスト用のシードデータをロードする
npm test             # vitestでテストスイートを実行する (100%カバレッジ)
npm run test:mcp     # MCPツールの統合テストを実行する

プロジェクト構造

us-regulations-mcp/
├── src/
│   ├── index.ts              # MCPサーバーのエントリーポイント
│   ├── tools/                # MCPツールの実装
│   │   ├── registry.ts       # 中央ツールレジストリ
│   │   ├── search.ts         # 全文検索
│   │   ├── section.ts        # セクションの取得
│   │   ├── list.ts           # 規制のリストアップ
│   │   ├── compare.ts        # 要件の比較
│   │   ├── map.ts            # コントロールのマッピング
│   │   ├── applicability.ts  # 適用可能性のチェック
│   │   ├── definitions.ts    # 用語の定義
│   │   ├── evidence.ts       # 証拠要件
│   │   └── action-items.ts   # コンプライアンスアクションアイテム
│   └── ingest/               # 取り込みフレームワーク
│       ├── framework.ts      # 基本インターフェース
│       └── adapters/         # ソース固有のアダプター
├── scripts/
│   ├── build-db.ts           # データベーススキーマビルダー
│   ├── load-seed-data.ts     # シードデータローダー
│   └── ingest.ts             # データ取り込みオーケストレーター
├── data/
│   └── regulations.db        # SQLiteデータベース
└── docs/                     # ドキュメント

アーキテクチャの概要

データベース

サーバーはSQLiteとFTS5 (全文検索) を使用して効率的なクエリを実行します。

• regulations - 各規制のメタデータ
• sections - 規制のセクションと全文
• sections_fts - 高速な全文検索のためのFTS5インデックス
• definitions - 公式の用語定義
• control_mappings - NISTコントロールと規制のマッピング
• applicability_rules - セクターの適用規則
• source_registry - 更新のためのデータソース追跡

取り込みフレームワーク

取り込みフレームワークはアダプターパターンを使用して、複数の米国の規制ソースからのデータを正規化します。

• eCFR.gov API - 連邦規制電子コード (HIPAA、SOX)
• カリフォルニア州LegInfo API - 州の法律 (CCPA/CPRA)
• regulations.gov API - 連邦規制文書
• 機関固有のソース - HHS、SEC、FTCのガイダンス

各アダプターはソース固有のページネーション、認証、およびデータ正規化を処理します。

MCPプロトコル

サーバーはModel Context Protocol仕様を実装しています。

• stdioトランスポート をClaude Desktopの統合に使用
• 中央化されたツールレジストリ を使用して一貫したツール定義を提供
• 構造化されたエラーハンドリング で分かりやすいメッセージを表示
• トークン効率の良い応答 でスニペットのハイライトを提供

関連プロジェクト: 完全なコンプライアンススイート

このサーバーはAnsvarのコンプライアンススイートの一部です。3つのMCPサーバーが連携して、エンドツーエンドのコンプライアンスカバレッジを提供します。

🇪🇺 EU Regulations MCP

Claudeから直接47のEU規制を照会できます

• GDPR、AI法、DORA、NIS2、MiFID II、PSD2、eIDAS、MDRなど39以上の規制
• 記事レベルの検索で完全な規制テキストを取得
• 規制間の参照と比較
• インストール: npx @ansvar/eu-regulations-mcp

🇺🇸 US Regulations MCP (このプロジェクト)

Claudeから直接米国の連邦および州のコンプライアンス法を照会できます

• HIPAA、CCPA、SOX、GLBA、FERPA、COPPA、FDA QSR、CIRCIAなど12以上の規制
• 連邦および州のプライバシー法の比較
• 違反通知タイムラインのマッピング
• インストール: npm install @ansvar/us-regulations-mcp

🔐 Security Controls MCP

28のフレームワークにまたがる1,451のセキュリティコントロールを照会できます

• ISO 27001、NIST CSF、DORA、PCI DSS、SOC 2、CMMC、FedRAMPなど21以上のフレームワーク
• 双方向のフレームワークマッピングとギャップ分析
• 購入した標準をインポートして公式テキストを取得
• インストール: pipx install security-controls-mcp

連携方法

規制 → コントロール実装のワークフロー:

1. "HIPAAのセキュリティセーフガード要件は何ですか？"
   → US Regulations MCPが45 CFR § 164.306の全文を返す

2. "HIPAA §164.306を満たすセキュリティコントロールは何ですか？"
   → Security Controls MCPがNIST 800 - 53、ISO 27001、およびSCFのコントロールにマッピングする

3. "NIST 800 - 53 AC - 1の実装詳細を表示してください"
   → Security Controls MCPがコントロール要件とフレームワークマッピングを返す

1つのチャットで完全なコンプライアンスを達成:

• EU/US Regulations MCPs はあなたが満たさなければならないコンプライアンス要件を教えてくれます。
• Security Controls MCP はそれらの要件を満たすためのコントロールの実装方法を教えてくれます。

Ansvar Systemsについて

私たちは、自動車、金融サービス、およびヘルスケアの分野で、AIによる脅威モデリングとコンプライアンスツールを開発しています。このMCPサーバーは、米国の規制に関する内部リファレンスツールとして始まりました。米国市場向けに開発しているすべての人が、同じようなコンプライアンス研究の煩わしさを抱えていることがわかりました。

そこで、このサーバーをオープンソース化しました。連邦および州の規制をナビゲートするために法律チームを必要とするはずがありません。

ansvar.eu — スウェーデン、ストックホルム

Ansvarのその他のオープンソースプロジェクト

私たちは、コンプライアンスおよびセキュリティの専門家向けの一連のMCPサーバーをメンテナンスしています。

すべてのプロジェクトを閲覧する: ansvar.eu/open-source

ドキュメント

• Coverage Details — すべての規制とセクション数
• Available Tools — 詳細なツール説明と例
• Development Status — 現在の実装状況
• Privacy Policy — データの取り扱いと保持に関する注意事項

ディレクトリレビューのメモ

テストアカウントとサンプルデータ

このサーバーは読み取り専用であり、機能レビューにログインアカウントは必要ありません。 ディレクトリレビューには、同梱のデータセットと以下のサンプルプロンプトを使用してください。

• "HIPAAのアクセスコントロール要件は何ですか？"
• "HIPAAとCCPAの違反通知タイムラインを比較してください。"
• "医療提供者に適用される規制をリストアップしてください。"

リモート認証 (OAuth 2.0)

デフォルトのサーバーランタイムは読み取り専用であり、認証なしでデプロイできます。 リモート認証エンドポイントをデプロイする場合は、OAuth 2.0をTLS上で使用し、信頼できる当局からの証明書を使用してください。

トラブルシューティング

• 起動に失敗した場合、US_COMPLIANCE_DB_PATHが読み取り可能なSQLiteファイルを指していることを確認してください。
• HTTPツールの呼び出しが失敗した場合、/mcpのPOSTルーティングとmcp-session-idヘッダーの転送を確認してください。
• 結果が空の場合、まずlist_regulationsを呼び出してデータセットの初期化を確認してください。

コントリビューション

コントリビューションは大歓迎です！詳細については、Contributing Guideを読んでください。

• 開発環境のセットアップ
• プルリクエストのプロセス
• コミットメッセージの規約
• コードスタイルガイドライン

このプロジェクトに参加することで、Code of Conductを遵守することに同意したことになります。

サポート

問題、質問、または機能リクエストについては:

• GitHub issueを開いてください
• メール: hello@ansvar.eu

謝辞

• 米国政府の公式ソース (eCFR.gov、カリフォルニア州LegInfo) からの規制データ
• AnthropicによるModel Context Protocolを使用
• EU Regulations MCPのアーキテクチャに触発されました

📄 ライセンス

Apache License 2.0。詳細については、LICENSEを参照してください。

_{スウェーデン、ストックホルムで誠意を持って構築されました}