Security posture en la Compliance API
Comprende qué expone la Compliance API sobre la página Security posture (Security Center) en claude.ai, y por dónde empezar.
La página Security posture en Configuración de la organización de claude.ai compara la configuración de Claude de tu organización con los controles de seguridad recomendados por Anthropic. A través de la Compliance API, tus herramientas de seguridad pueden leer los cambios que registra la página. También pueden leer los resultados actuales. Security posture informa sobre tu configuración y no la cambia. El elemento de la barra lateral es Security posture, y la página que abre lleva el encabezado Security Center.
Elige tu camino
Para llevar los cambios de la página a tu sistema de gestión de información y eventos de seguridad (security information and event management, o SIEM), empieza por Enviar eventos de Security posture a tu SIEM. Si ya ingieres todo el Activity Feed, ya los tienes; comprueba dos cosas.
- Para generar alertas sobre cambios riesgosos, consulta Detectar cambios en Security posture.
- Para normalizar al Open Cybersecurity Schema Framework (OCSF), consulta Mapear eventos de Security posture a OCSF.
- Para saber quién aceptó qué riesgo, cuándo y hasta cuándo, consulta Referencia de eventos de Security posture; para los riesgos vigentes, consulta Resultados actuales.
Para trabajar con los resultados actuales del endpoint, usa estas páginas:
- Para paneles, consulta Referencia de resultados de Security posture.
- Para verificar los eventos almacenados, consulta Comparar los eventos de Security posture almacenados con los resultados actuales.
- Si el endpoint y la página no coinciden, consulta Cómo aparece una atestación en la respuesta.
Para entender los datos, sigue leyendo.
Qué evalúa Security posture
Security posture evalúa una lista de controles y le da a cada uno un resultado.
Controles
Un control es una configuración o práctica recomendada, como el inicio de sesión único. Cada control tiene un nombre visible y un identificador. El identificador es el mismo para todas las organizaciones. Un control también puede tener un valor actual (current_value) y un valor recomendado (desired_state). Hay tres tipos de controles:
| Tipo | Qué decide su resultado | Ejemplo |
|---|---|---|
| Control automático | Una verificación automática del valor actual frente al valor recomendado, salvo que haya una atestación vigente. | sso_enabled |
| Control manual | Una persona, porque Anthropic no puede leer la configuración, por ejemplo cuando está en la consola de otro proveedor. | oauth_conditional_access |
| Control solo informativo | Nada: no hay valor recomendado, así que el control se informa y no se califica. | allowed_invite_domains |
Atestaciones
Una atestación es la declaración registrada de una persona sobre la situación de la organización respecto a un control; no es el resultado de una verificación. La mayoría de los controles pueden llevar una atestación, incluidos los automáticos, sea cual sea el resultado de su verificación. Una atestación tiene uno de tres valores:
- Completado (
completed): el control está implementado. - Riesgo aceptado (
accepted_risk): el control no está implementado y la organización acepta el riesgo. - Fallido (
control_failed): el control no está implementado.
Quien puede atestar lo hace en la página. La API lee las atestaciones y no puede crearlas. La página puede hacer una pregunta cuando alguien atesta, a veces con respuesta obligatoria, y almacena la respuesta con la atestación como su comentario, de hasta 2000 caracteres. Una actividad del Activity Feed nunca incluye el comentario ni muestra que exista uno. El endpoint tampoco devuelve comentarios.
Resultados
Cada control tiene uno de cuatro resultados.
| Resultado | Significado |
|---|---|
Superado (passed) | Cumple el valor recomendado, o hay vigente una atestación de Completado o Riesgo aceptado. |
Fallido (failed) | No cumple el valor recomendado, o tiene una atestación de Fallido (control_failed). |
Sin atestación (not_attested) | Un control manual sin ninguna atestación vigente. |
Descriptivo (descriptive) | No se califica, incluso con atestación; abarca los controles solo informativos y los controles que no aplican o que no se pudieron leer. |
Un riesgo aceptado vigente cuenta como Superado en un control automático o manual, aunque el control no esté implementado. En la respuesta, un control automático con atestación de Completado mientras su verificación no se cumple es failed.
Qué hace que una atestación deje de estar vigente
Una atestación permanece vigente hasta que ocurre una de tres cosas:
- Alguien la borra o la cambia.
- Llega su fecha de finalización (
review_date). La persona que atesta elige 90 días o ninguna. - En un control automático o solo informativo, cambia el valor actual o, en el caso de un riesgo aceptado en algunos controles automáticos, la verificación automática se cumple.
Sin una atestación vigente, el resultado de un control automático sigue a su verificación, y un control manual queda Sin atestación.
Cambios a lo largo del tiempo: el Activity Feed
El Activity Feed responde qué cambió, cuándo y quién lo cambió. Registra una actividad cuando alguien atesta un control, cambia una atestación o la borra, y a veces cuando una atestación deja de estar vigente automáticamente.
Los títulos de estas páginas llaman eventos a las actividades. Leerlas requiere el alcance read:compliance_activities o read:org_audit. Referencia de eventos de Security posture enumera sus campos. Para recopilarlas, consulta Enviar eventos de Security posture a tu SIEM.
Resultados actuales: el endpoint
El endpoint responde cuál es el resultado de un control en el momento de la solicitud. Úsalo para generar informes sobre las organizaciones que dependen de tu organización principal. Cada llamada lee una organización y no devuelve historial. Para cada control que enumera, la respuesta da su id, su display_name y su resultado en rating, con los identificadores de la tabla de resultados.
Llamarlo requiere el alcance read:compliance_org_data o read:org_audit.
La página, el endpoint y el Activity Feed no siempre muestran lo mismo, porque la respuesta omite algunos controles y algunas atestaciones. Consulta Cómo aparece una atestación en la respuesta y Comparar los eventos de Security posture almacenados con los resultados actuales.
Disponibilidad
Security posture está en beta.
Si tu organización tiene Claude Enterprise, Security posture está disponible para ella y su organización principal tiene habilitada la Compliance API, el Activity Feed registra actividades de atestación para ella, y el endpoint devuelve los resultados de tu organización.
También necesitas una Compliance Access Key con el alcance correspondiente. Estas páginas dan por hecho que has leído Configurar la Compliance API y Consultar el Activity Feed.
Si tu organización tiene otro plan, o es una organización de Claude Console, el Activity Feed no registra actividades de Security posture para ella, y el endpoint devuelve 404.
Si se ha desactivado la página Security posture para tu organización, el endpoint devuelve 404 para tu organización hasta que se active la página. Incluso una clave para la organización principal recibe ese 404.
Para algunas organizaciones, el endpoint devuelve 404 incluso cuando se cumplen las tres condiciones y no se ha desactivado la página Security posture.
Quién puede ver quién atestó
Cada actividad de atestación causada por una persona registra su ID de usuario, su dirección de correo electrónico en ese momento, y la dirección IP y el agente de usuario de la solicitud. Cualquier clave que cubra la organización y tenga read:compliance_activities o read:org_audit puede leer estos datos, incluso después de que la persona deje la organización o de que se elimine su cuenta. Eliminar la organización no quita estas actividades del Activity Feed, que conserva las actividades durante 6 años. Las claves propias de la organización dejan de funcionar cuando esta se elimina.
Cualquier clave que tenga a la vez read:compliance_org_data y read:compliance_user_data, o que tenga read:org_audit, puede leer, en el campo attested_by del endpoint, el ID de usuario de la persona que atestó, cuando el endpoint lo devuelve, incluso para atestaciones hechas antes de que tuvieras acceso.
Estos valores son datos personales; tus copias sobreviven a la pertenencia de la persona a la organización. Antes de recopilar estos datos, informa a las personas que atestan.
Qué almacena Anthropic cuando alguien atesta
Anthropic almacena una atestación por control, incluidos el valor, cuándo se hizo, la fecha de finalización, si la hay, y la cuenta de la persona que atestó. Volver a atestar la reemplaza.
Anthropic sigue almacenando una atestación después de que llegue su fecha de finalización o de que deje de estar vigente automáticamente, hasta que alguien la borre o Anthropic la elimine al eliminar la organización. Si se elimina la cuenta de la persona que atestó, Anthropic sigue almacenando la atestación, que ya no indica quién atestó. Cualquier actividad del Activity Feed causada por esta persona sigue nombrando a esta persona. Borrar o reemplazar la atestación no quita nada del Activity Feed (consulta Quién puede ver quién atestó).
Las claves de cifrado administradas por el cliente (CMEK), la retención de datos cero (ZDR) para Claude Code y un plan Enterprise preparado para HIPAA no cambian qué almacena Anthropic del control, el valor, las fechas y la cuenta de una atestación. Ninguno de los tres acorta el tiempo durante el que Anthropic los almacena. CMEK no cifra estos campos.
Anthropic almacena el comentario de una atestación hasta que alguien borre la atestación o Anthropic elimine el comentario al eliminar la organización. Volver a atestar puede reemplazar o quitar el comentario. Mientras Security posture no esté disponible para una organización, Anthropic sigue almacenando las atestaciones y los comentarios de esa organización, y nadie puede verlos ni borrarlos en la página Security posture. Un período de retención de conversaciones personalizado no acorta el tiempo durante el que Anthropic almacena la atestación ni el comentario. Las actividades del Activity Feed nunca incluyen el comentario (consulta Lo que el Activity Feed no registra).
¿Te resultó útil esta página?