Referencia de eventos de Security posture

El Activity Feed registra los cambios en las atestaciones de la página Security posture como las actividades que describe esta página. Para incorporarlas a un sistema “security information and event management” (gestión de información y eventos de seguridad), o SIEM, empieza en Enviar eventos de Security posture a tu SIEM. Transmite sin cambios cualquier valor de control, action u otro campo que esta página no enumere, ignora los campos inesperados y trata igual una clave ausente y un valor null. Comprender el objeto Activity cubre los campos estándar y los tipos desconocidos.

Necesitas una Compliance Access Key que cubra la organización, con el alcance read:compliance_activities o read:org_audit.

Actividad de atestación

Una actividad org_security_control_attestation_updated registra que alguien registró, cambió, volvió a guardar o borró la atestación de la organización para un control de seguridad, o que la atestación dejó de estar vigente automáticamente. Su created_at es la hora del cambio de una persona o, para un cambio automático, la hora en que se registró el cambio, la cual puede ser posterior al cambio. Su actor es un user_actor para el cambio de una persona y un system_actor para un cambio automático, como lapsed.

Campos

Este tipo añade los siguientes campos, donde status es el valor de la atestación y review_date es su fecha de finalización.

En un control solo informativo, el valor Revisado se registra como completed.

Valores de action

En las actividades renewed y lapsed, status es igual a previous_status. Un guardado con el mismo valor después de una actividad lapsed se registra como renewed, no como attested.

Qué significa una actividad lapsed

Una actividad lapsed significa que el resultado de la verificación o el valor actual del control difiere del que había cuando se guardó la atestación; el valor actual puede cambiar sin que cambie ninguna configuración, por ejemplo cuando Anthropic modifica su redacción. status es el valor que dejó de estar vigente: cualquiera de los tres. La atestación de un control manual nunca recibe una actividad lapsed. La actividad puede llegar más tarde que el cambio que la causó.

Ejemplo

{
  "id": "activity_01Hq7ZtYc4Vb2NmKx8RsPd3W",
  "type": "org_security_control_attestation_updated",
  "created_at": "2026-10-20T15:04:00.220114Z",
  "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2",
  "organization_uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "actor": {
    "type": "user_actor",
    "email_address": "jane.doe@example.com",
    "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu",
    "ip_address": "192.0.2.34",
    "user_agent": "Mozilla/5.0..."
  },
  "control": "directory_sync_enabled",
  "action": "attested",
  "status": "accepted_risk"
}

Lo que el Activity Feed no registra

No interpretes la ausencia de una actividad como señal de que nada cambió. Para los resultados actuales, consulta Referencia de resultados de Security posture; su endpoint puede omitir un control que una actividad nombra.

• Los cambios anteriores a que el Activity Feed empezara a registrar estas actividades para la organización, o producidos mientras la Compliance API estaba desactivada, que nunca se añaden después.
• En raras ocasiones, un cambio de cualquier tipo.
• Todas las fechas de finalización que llegan: no todas las fechas de finalización reciben una actividad, así que no esperes a que llegue una.
• Cada vez que se desactiva o se activa la página Security posture: no dependas de una regla de detección para detectarlo.
• Los comentarios guardados con una atestación, o cualquier indicación de que exista alguno. Para cambiar un comentario hay que volver a guardar la atestación, y el Activity Feed lo registra como cualquier otra vez que se guarda con el mismo valor (consulta valores de action).
• A qué tipo de control corresponde una atestación: automático, manual o solo informativo.
• Todos los cambios que podrían hacer que una atestación deje de estar vigente: no todos reciben una actividad lapsed.