Gdprshiftleftmcp

🚀 GDPR Shift-Left MCP Server

GDPR準拠に関する知識を直接IDEに持ち込むModel Context Protocol (MCP)サーバーです。開発者とコンプライアンスチームが開発ライフサイクルの早い段階でデータ保護要件を特定し、対処できるようにします。

⚠️ 重要な注意

このツールは情報提供のみを目的としており、法律上のアドバイスを構成するものではありません。組織は、拘束力のあるGDPRコンプライアンスの決定について、資格のある法律顧問に相談する必要があります。

✨ 主な機能

🔍 GDPR知識ベース (34のツール)

• 条項検索 — 番号で任意のGDPR条項を検索し、全99条と173の前文を検索できます。
• 定義 — 第4条の用語定義と文脈に沿った説明。
• 章別ナビゲーション — 完全なディレクトリで章別に条項を閲覧できます。
• Azureマッピング — GDPR条項をAzureサービスとコントロールにマッピングします。

📋 コンプライアンスワークフロー

• DPIA評価 — DPIAが必要かどうかを評価し（EDPBの9つの基準テスト）、第35条のテンプレートを生成します。
• ROPAビルダー — 第30条の処理活動記録を生成し、検証します。
• DSRガイダンス — 7つのデータ主体の権利（第12条から第23条）に関するステップバイステップのワークフロー。
• 保持期間分析 — 第5条(1)(e)の保管制限に基づいて保持ポリシーを評価します。
• コントローラー/プロセッサーの役割分類 — データの役割を評価し、義務を取得し、コードパターンを分析し、DPAチェックリストを生成します。

🏗️ インフラストラクチャとコードレビュー

• Bicep/Terraform/ARMアナライザー — IaCをスキャンしてGDPR違反（暗号化、アクセス、ネットワーク、居住地、ロギング、保持）を検出します。
• アプリケーションコードアナライザー — PIIロギング、ハードコードされたシークレット、同意チェックの欠如、データ最小化の問題を検出します。
• GDPR設定バリデーター — 厳格またはアドバイザリーモードでの合格/不合格の検証。
• DSR機能アナライザー — 7つのデータ主体の権利（第15条から第22条）の実装を検出します。
• 国境を越えたデータ転送アナライザー — EEA外にデータを転送する可能性のあるサードパーティのAPI/SDKを特定し、各プロバイダーが割り当てられたリスクレベルの理由を説明するリスク正当化を提供します（本社所在地、適合性決定、データの機密性に基づく）。
• データ侵害対応アナライザー — データ侵害の検出、ロギング、通知機能を評価します。
• データフローアナライザー — 個人データのライフサイクル（収集、保管、送信、削除）をマッピングします。
• ASTコードアナライザー — Python、JavaScript、TypeScript、Java、C#、Goの抽象構文木を使用した深層分析で、以下のことができます。
  • 関数パラメーターと変数内のPII検出
  • インポート分析を通じた国境を越えたデータ転送の検出（150以上のプロバイダーとリスク正当化）
  • PIIロギング違反の検出
  • DSR実装パターンの検証
  • データフローの追跡と呼び出しグラフの分析

📝 ガイド付きプロンプト (8つの専門家プロンプト)

• ギャップ分析、DPIA評価、コンプライアンスロードマップ、データマッピング
• インシデント対応、Azureプライバシーレビュー、ベンダー評価、国境を越えたデータ転送

📐 Azure Bicepテンプレート (19のテンプレート)

• ストレージアカウント — CMK暗号化、プライベートエンドポイント、ライフサイクルポリシー（第5条、第25条、第32条、第44条から第49条）
• キーコンテナー — HSMバックアップのプレミアム版、パージ保護、RBAC（第25条、第32条）
• Azure SQL — Entraのみの認証、TDE、監査（第25条、第32条）
• ログ分析 — 365日間の保持期間、データ侵害/アクセス/削除追跡のための保存されたGDPRクエリ（第5条(2)、第30条、第33条）
• Cosmos DB — EUのみのリージョン、強い整合性、継続的なバックアップ、TTL有効化されたROPAコンテナー（第25条、第32条、第44条から第49条）
• App Service — マネージドID、TLS 1.2、VNet統合、ステージングスロット、完全な監査ログ（第25条、第32条）
• 仮想ネットワーク — 3つのサブネット、最小限の権限ルールを持つNSG、サービスエンドポイント（第25条、第32条、第5条(1)(f)）
• コンテナアプリ — 内部イングレス、相互TLS、ゾーン冗長性、マネージドID（第25条、第32条）
• モニターアラート — DPOアクショングループ、サインイン/流出/エスカレーション/キーコンテナーの4つのスケジュールアラート（第33条、第34条、第32条）
• PostgreSQLフレキシブルサーバー — ゾーン冗長性の高可用性、Entra ID認証、pgaudit、地理的に冗長なバックアップ（第25条、第32条、第5条(1)(e)）
• Service Bus Premium — CMK暗号化、DSR/同意/データ侵害/保持のためのGDPRキュー（第25条、第32条、第5条(1)(f)）
• AKS — プライベートクラスター、Azure CNI、コンテナー用Defender、ワークロードID、ネットワークポリシー（第25条、第32条、第5条(1)(f)）
• Confidential Ledger — TEEバックアップの改ざん防止監査トレイル、GDPRの説明責任記録（第5条(2)、第30条、第33条）
• Confidential VM — AMD SEV-SNP暗号化メモリ、vTPM、セキュアブート、一時的なOSディスク（第25条、第32条、第5条(1)(f)）
• Entra ID設定 — 監査ログルーティング、サインイン監視、条件付きアクセスチェックリスト（第32条、第5条(2)）
• Azureポリシー — EUリージョン制限、CMK強制、タグ要件、HTTPSのみ（第25条、第32条、第44条）
• Defender for Cloud — すべてのDefenderプラン、セキュリティ連絡先、自動プロビジョニング、GDPRコンプライアンスダッシュボード（第32条、第33条）
• API Management — 内部VNet、TLS 1.2以上、レート制限、データマスキングポリシー、監査ログ（第25条、第32条、第30条）
• WAF付きFront Door — OWASPルール、EU/EEA地理フィルタリング、ボット保護、レート制限（第25条、第32条、第44条）

🚀 クイックスタート

前提条件

• Python 3.10以上
• GitHub Copilot付きのVS Code

インストール

MCPレジストリからインストール (推奨)

サーバーはMCPレジストリに公開されています。VS Codeで直接インストールできます。

1. 拡張機能ビューを開きます (Ctrl+Shift+X)
2. 検索フィールドに @mcp GDPR と入力します
3. "GDPR Shift-Left Compliance"の Install をクリックします

注意: VS CodeのMCPギャラリーはデフォルトでサーバーの選択されたサブセットを表示します。サーバーが表示されない場合は、VS Codeのユーザー設定 (Ctrl+, → 設定JSONを開く) に以下を追加します。

"chat.mcp.gallery.serviceUrl": "https://registry.modelcontextprotocol.io"

これにより、VS CodeはGitHubの選択されたリストではなく、完全なMCPレジストリ（5,000以上のサーバー）を参照します。

uvxを使用してインストール (クローン不要)

uvx gdpr-shift-left-mcp

ソースからインストール

# リポジトリをクローンします
git clone https://github.com/KevinRabun/GDPRShiftLeftMCP.git
cd GDPRShiftLeftMCP

# 開発モードでインストールします
pip install -e ".[dev]"

VS Code統合

リポジトリには自動MCPサーバー登録用の .vscode/mcp.json が含まれています。インストール後、GDPRツールがGitHub Copilotのツールリストに表示されます。

手動で構成するには、VS Codeの設定に以下を追加します。

{
  "mcp": {
    "servers": {
      "gdpr-shift-left-mcp": {
        "type": "stdio",
        "command": "python",
        "args": ["-m", "gdpr_shift_left_mcp"]
      }
    }
  }
}

サーバーの実行

# 直接実行
python -m gdpr_shift_left_mcp

# またはインストールされたエントリポイントを使用
gdpr-shift-left-mcp

💻 ツールリファレンス

🔧 技術詳細

src/gdpr_shift_left_mcp/
├── __init__.py              # パッケージの初期化
├── __main__.py              # エントリポイント
├── server.py                # FastMCPサーバー + プロンプト登録
├── disclaimer.py            # 法律上の免責事項ユーティリティ
├── data_loader.py           # オンラインGDPRデータの取得とキャッシュ
├── tools/
│   ├── __init__.py          # ツールの登録 (34のツール)
│   ├── articles.py          # 条項/前文/検索ツール
│   ├── definitions.py       # 第4条の定義ツール
│   ├── dpia.py              # DPIA評価ツール
│   ├── ropa.py              # ROPAビルダーツール
│   ├── dsr.py               # データ主体の権利ツール
│   ├── analyzer.py          # IaC + アプリケーションコードアナライザー
│   ├── ast_analyzer.py      # ASTベースの深層コード分析
│   ├── retention.py         # 保持/削除ツール
│   └── role_classifier.py   # コントローラー/プロセッサーの役割分類
├── prompts/
│   ├── __init__.py          # プロンプトローダー
│   └── *.txt                # 8つの専門家プロンプトテンプレート
└── templates/
    ├── __init__.py           # テンプレートローダー
    └── *.bicep               # GDPRに準拠したAzure Bicepテンプレート

🧪 テスト

# すべてのテストを実行
pytest

# カバレッジ付きで実行
pytest --cov=gdpr_shift_left_mcp --cov-report=html

# ジャッジ（エンドツーエンド評価）を実行
python -m tests.evaluator.run_judges

🌐 オンライン更新

サーバーは、構成可能なオンラインソースからGDPRデータを取得し、ローカルにキャッシュします。

• ソースURL: GDPR_SOURCE_URL 環境変数で設定
• キャッシュTTL: デフォルトは1時間（GDPR_CACHE_TTL で構成可能）
• キャッシュディレクトリ: __gdpr_cache__/（GDPR_CACHE_DIR で構成可能）
• フォールバック: オンライン取得に失敗した場合、組み込みデータを使用

🤝 コントリビューション

ガイドラインについては CONTRIBUTING.md を参照してください。このプロジェクトはGit Flowブランチングを採用しています。

• feature/<name> は新機能用
• bugfix/<name> は修正用
• release/<version> はリリース用
• hotfix/<name> は本番環境の修正用

すべてのPRはマージ前に自動テストとジャッジを通過する必要があります。

📄 ライセンス

MIT — 詳細については LICENSE を参照してください。

🙏 謝辞

• アーキテクチャは FedRAMP20xMCP にインスパイアされています。
• GDPRテキストは EUR-Lex から取得しています。
• EDPBガイドラインは edpb.europa.eu から取得しています。