--- title: Comparer les événements stockés de Security posture aux résultats actuels url: https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results description: Une fois par jour, comparez les activités d'attestation que votre SIEM a stockées avec les résultats actuels du point de terminaison, et déterminez quelles non-concordances nécessitent l'intervention d'une personne. --- Pour activer la « Compliance API » (API de conformité), consultez [Configurer la Compliance API](https://platform.claude.com/docs/fr/manage-claude/compliance-api-access). Le flux d’activité peut livrer une activité en retard, et le point de terminaison ne conserve aucun historique ; chaque source peut donc présenter un changement que l’autre ne présente pas. Une comparaison quotidienne trouve ce qui manque à votre stockage de « security information and event management » (gestion des informations et des événements de sécurité), ou SIEM. Le flux n’enregistre pas [chaque changement](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record) ; une attestation peut donc être plus ancienne que la première activité du flux pour son contrôle de sécurité, et, dans de rares cas, un changement n’a aucune activité. Si vous indiquez uniquement les résultats actuels, vous n’avez pas besoin de cette vérification. Vous avez besoin d’une Compliance Access Key qui couvre l’organisation, avec `read:compliance_org_data` pour le point de terminaison et `read:compliance_activities` pour le flux d’activité, ou `read:org_audit` pour les deux. ## Effectuer la vérification Lancez chaque exécution une fois la [relecture quotidienne](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day) du jour terminée, afin que les activités arrivées en retard soient stockées. 1. Listez les organisations liées avec [Lister les organisations](https://platform.claude.com/docs/fr/manage-claude/compliance-org-data#list-organizations). Vous obtenez le `uuid` de chacune. 2. [Appelez le point de terminaison](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/results-reference#request) une fois pour chaque organisation. Vous obtenez un 200, ou un 404 à chaque exécution pour une organisation que le point de terminaison ne dessert pas (voir [Disponibilité de Security posture](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/overview#availability)). Un 404 signifie que l’organisation n’est pas lue lors de cette exécution. Conservez une liste des organisations qui renvoient un 200, chacune avec le `evaluated_at` de son premier 200 : votre première exécution pour l’organisation. 3. Mettez de côté ce que listent les [règles de mise à l’écart](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared). 4. Regroupez les activités d’attestation stockées restantes de l’organisation par contrôle de sécurité, et prenez la plus récente selon `created_at` pour chacun. Vous obtenez une activité pour chaque contrôle, ou aucune. 5. Pour chaque contrôle restant, trouvez sa ligne dans [la table de décision](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results#decide-what-each-mismatch-means). Vous obtenez Concordant, Attendu ou À examiner. 6. N’agissez sur un « À examiner » que lorsque l’exécution suivante qui lit l’organisation le présente de nouveau ; agissez immédiatement sur la ligne 6, et pour les lignes 10 et 11, suivez plutôt les [règles relatives aux enregistrements de substitution](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched). Une exécution qui n’a pas lu l’organisation ne compte pas et ne relance pas non plus l’attente. Espacez vos appels et gérez un 429 comme le décrit [429 Too Many Requests](https://platform.claude.com/docs/fr/manage-claude/compliance-errors#429-too-many-requests) ; une organisation dont les appels échouent après vos nouvelles tentatives n’est pas lue lors de cette exécution, et un appel en échec n’est pas un changement. ## Faire correspondre les champs Faites correspondre une entrée de la réponse à une activité stockée à l’aide de ces champs. | Dans la réponse | Dans l’activité | Relation | | ------------------------- | ----------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `organization_id` | `organization_uuid` | La même valeur ; le `organization_id` propre à l’activité porte le préfixe `org_`. | | `controls[].id` | `control` | Le même identifiant, sauf dans le cas de la [règle S2](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared). | | `attestation.attested_at` | `created_at` de l’activité `attested`, `changed` ou `renewed` la plus récente | Le même moment lorsque la réponse présente l’attestation ; comparez-les en tant qu’horodatages, pas en tant que chaînes. | | `status` | `status` | Tant que l’attestation est en vigueur, `attested_completed` correspond à `completed`, et `attested_accepted_risk` et `failed_check_accepted_risk` correspondent à `accepted_risk` ; rien ne correspond à `control_failed`. | ## Mettre de côté ce qui ne peut pas être comparé Avant de comparer, mettez de côté les éléments suivants. | # | Quoi | Règle | | -- | -------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------- | | S1 | Une activité d’attestation stockée dont l’`action` n’est pas `attested`, `changed`, `renewed`, `cleared` ou `lapsed` | Excluez-la de l’ensemble de la vérification ; signalez pour examen chaque nouvelle valeur d’`action` une seule fois. | | S2 | Une activité d’attestation stockée qui nomme `mdm_cowork_required_organization` | Comptez-la comme une activité pour `mdm_chat_required_organization`. | | S3 | Une activité d’attestation stockée dont le contrôle n’a aucune entrée dans la réponse | Rien à comparer ; indiquez le contrôle comme absent de la réponse, jamais comme Réussi (`passed`). | | S4 | Une entrée dont le `status` est `descriptive`, `not_applicable` ou `not_evaluated` | Ignorez-la ; une exécution lors de laquelle elle est `not_evaluated` ne compte pas pour ce contrôle. | ## Déterminer la signification de chaque non-concordance Chaque contrôle restant correspond à exactement une ligne. | # | Activité stockée la plus récente | Entrée dans la réponse | Verdict | Action | | -- | -------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 1 | `attested`, `changed` ou `renewed` | `attested_at` est égal à son `created_at` ; `state` est `in_force` ; `status` correspond à sa valeur. | Concordant | Rien. | | 2 | `cleared` | `attestation` est `null`, sauf dans le cas de la ligne 11. | Concordant | Rien. | | 3 | `lapsed`, avec Risque accepté (`accepted_risk`) | `attestation` est `null`, ou porte l’horodatage de l’activité précédente avec un `state` `check_passing` ou `setting_changed`. | Concordant | Rien. | | 4 | `lapsed`, avec `completed` ou `control_failed` | `attestation` est `null`. | Concordant | Rien. | | 5 | `attested`, `changed` ou `renewed` | `attested_at` est égal à son `created_at` ; `state` est `review_due`, `check_passing` ou `setting_changed`. | Attendu | Pas en vigueur : agissez une fois sur chaque nouvel état, sans attendre d’activité ; un retour à `in_force` réinitialise cela. | | 6 | `attested`, `changed` ou `renewed`, avec Effectué (`completed`), et un `created_at` postérieur à votre première exécution | Lors de la première exécution qui compare l’activité, `attestation` est `null` et `status` est `failed` avec un `current_value`. | À examiner | La page Security posture peut présenter comme Réussi un contrôle dont la vérification automatique n’est pas satisfaite : signalez pour examen, sans attente. | | 7 | `attested`, `changed` ou `renewed`, avec `completed` | `attestation` est `null` ; `status` n’est ni `not_attested` ni `failed` avec un `current_value` `null` ; la ligne 6 ne s’applique pas. | Attendu | Rien à comparer ; la réponse ne la présente jamais. | | 8 | `attested`, `changed` ou `renewed`, en tant qu’Échoué (`control_failed`) | `attestation` est `null` ; `status` prend l’une de trois valeurs : `failed` ; tout statut que donne la vérification automatique ; ou, à partir de la date de fin (`review_date`, en UTC), `not_attested`. | Attendu | Rien à comparer ; agissez une fois lorsque `status` quitte `failed` à partir de la date de fin. | | 9 | `attested`, `changed` ou `renewed`, avec `accepted_risk` | `attestation` est `null`, et `status` est `passed`, `matches_profile` ou `exceeds_baseline`. | Attendu | Stockez un enregistrement de substitution ([règle 7 relative aux enregistrements de substitution](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)). | | 10 | Aucune, ou toutes les activités stockées sont plus anciennes que `attested_at` | `attestation` est présente. | À examiner | Suivez les règles relatives aux enregistrements de substitution. | | 11 | Aucune, ou une activité dont la valeur n’est pas `control_failed` | `current_value` est `null`, et `status` est `failed`. | À examiner | Il manque à votre stockage une attestation en tant qu’Échoué (`control_failed`) : suivez les règles relatives aux enregistrements de substitution, et agissez une fois lorsque `status` quitte `failed`. | | 12 | `attested`, `changed`, `renewed` ou `cleared`, plus récente que `attested_at`, avec une autre activité de presque le même moment | `attestation` est présente. | Attendu | Des changements effectués presque au même moment peuvent être stockés dans n’importe quel ordre. | | 13 | La même, sans une telle seconde activité | `attestation` est présente. | À examiner | Contactez le support Anthropic, une seule fois. | | 14 | `attested`, `changed` ou `renewed` | `attested_at` est égal à son `created_at` ; `state` est `in_force` ; `status` ne correspond pas à sa valeur. | À examiner | Contactez le support Anthropic, une seule fois. | | 15 | `attested`, `changed` ou `renewed` ; aucune ligne précédente ne s’applique | `attestation` est `null`. | À examiner | Très probablement effacée : stockez un enregistrement de substitution ([règle 7 relative aux enregistrements de substitution](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)) et signalez pour examen une seule fois. | | 16 | Aucune | `attestation` est `null`, et la ligne 11 ne s’applique pas. | Concordant | Rien. | | 17 | N’importe quelle autre | N’importe quelle autre. | À examiner | Signalez pour examen une seule fois. | ## Conserver un enregistrement de substitution lorsque les deux sources ne peuvent pas être mises en correspondance Un enregistrement de substitution remplace ce qui manque à l’une des deux sources, et vous le conservez à part de vos activités stockées. Pour les lignes 10 et 11, relisez le flux, et ne stockez et ne signalez l’enregistrement de substitution que si rien n’arrive dans un délai de 15 jours, soit la portée de la [relecture quotidienne](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day). Lors de votre première exécution, stockez-le immédiatement, sans examen. Enregistrements de substitution de la ligne 10, identifiés par le contrôle et `attested_at` : 1. Relisez à partir de votre activité stockée la plus récente pour le contrôle, ou à partir de `attested_at` inclus si vous n’en avez stocké aucune ; les 15 jours se comptent à partir de `attested_at`. Construisez l’enregistrement de substitution à partir de l’entrée, marqué comme n’ayant aucune activité ; dans la table de décision, lisez-le comme une activité `attested` à cet `attested_at` dont la valeur correspond à son `status`, le cas échéant. 2. À chaque exécution qui présente l’attestation, mettez à jour son `status` et son `state`. 3. Lorsqu’une activité arrive dont le `created_at` est égal à cet `attested_at`, remplacez l’enregistrement de substitution par celle-ci. 4. Lorsque deux exécutions consécutives ne présentent pas l’attestation, résolvez l’enregistrement de substitution ; signalez cela pour examen, sauf si une activité stockée plus récente ou une non-concordance non résolue de la ligne 10 pour le contrôle l’explique, ou si les deux exécutions présentent `descriptive`. 5. Une exécution qui n’a pas lu l’organisation, ou qui présente `not_evaluated`, ne compte pas dans ces deux exécutions et ne les relance pas non plus. 6. Si l’attestation apparaît de nouveau, rouvrez le même enregistrement de substitution. Enregistrements de substitution des lignes 9, 11 et 15, identifiés par le contrôle seul : 7. Pour la ligne 11, les 15 jours se comptent à partir de la première exécution qui présente le `status`. Tant que l’enregistrement de substitution n’est pas résolu, ne signalez plus rien pour ce contrôle ; résolvez-le lorsqu’une activité plus récente arrive, lorsque l’attestation apparaît, ou lorsque deux exécutions consécutives correspondent à une autre ligne. 8. Lorsqu’un enregistrement de substitution de la ligne 9 est résolu parce que l’attestation apparaît comme `failed_check_accepted_risk`, signalez-le pour examen une seule fois : le risque est en vigueur. ## Exemple détaillé Ces deux exécutions lisent l’organisation de l’[exemple de réponse](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/results-reference#response) de la page Référence des résultats ; l’exécution 1 est votre première exécution. * Exécution 1, `directory_sync_enabled`. Stocké : `attested`, `accepted_risk`, créé à `2026-10-20T15:04:00.220114Z`. Réponse : `failed_check_accepted_risk`, `in_force`, le même `attested_at`. Ligne 1 : Concordant. * Exécution 1, `allowed_invite_domains`. Stocké : rien. Réponse : `descriptive`, `attestation` `null`. Règle S4 : mis de côté. * Exécution 1, `oauth_conditional_access`. Stocké : rien. Réponse : une `attestation` avec un `state` `review_due`. Ligne 10 : À examiner. Lors de votre première exécution, stockez immédiatement un enregistrement de substitution, sans examen. * Exécution 2, `oauth_conditional_access`. Enregistrement de substitution : celui de l’exécution 1. Réponse : la même. Ligne 5 : Attendu. Agissez une fois sur `review_due`. ## Ce que la vérification ne peut pas trouver La vérification quotidienne ne peut pas trouver une activité manquante pour une attestation que la réponse omet sur un contrôle automatique. La réponse ne donne aucun signe d’une telle attestation, ou seulement le `status` `failed`, qui ressemble au statut que donne la vérification automatique. ## Lorsqu’une organisation cesse de répondre Une organisation qui a renvoyé un 200 puis renvoie un 404 lors de plusieurs exécutions consécutives nécessite l’intervention d’une personne, une seule fois. Demandez à une personne ayant accès à la page Security posture si la page a été désactivée pour l’organisation (voir [Disponibilité de Security posture](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/overview#availability)). Si la page n’a pas été désactivée, contactez votre représentant Anthropic. L’organisation a peut-être été supprimée, ou votre accès, Security posture ou le point de terminaison a peut-être pris fin pour l’organisation. Quelle que soit la cause, résolvez les enregistrements de substitution et les non-concordances non résolues de l’organisation sans examen, continuez à appeler l’organisation, et rouvrez-les si l’organisation renvoie un 200.