Security posture dans la Compliance API
Découvrez ce que la Compliance API expose au sujet de la page Security posture (Security Center) dans claude.ai, et par où commencer.
La page Security posture des Paramètres de l’organisation de claude.ai compare les paramètres Claude de votre organisation aux contrôles de sécurité recommandés par Anthropic. Grâce à la Compliance API, vos outils de sécurité peuvent lire les modifications que la page enregistre. Ils peuvent également lire les résultats actuels. Security posture rend compte de vos paramètres et ne les modifie pas. L’élément de la barre latérale s’intitule Security posture, et la page qu’il ouvre a pour en-tête Security Center.
Choisir votre parcours
Pour transférer les changements de la page vers votre système « security information and event management » (gestion des informations et des événements de sécurité), ou SIEM, commencez par Envoyer les événements de Security posture vers votre SIEM. Si vous ingérez déjà l’intégralité du flux d’activité, vous les avez déjà ; vérifiez deux points.
- Pour déclencher une alerte sur les changements risqués, consultez Détecter les changements dans Security posture.
- Pour normaliser selon l’« Open Cybersecurity Schema Framework », ou OCSF, consultez Mapper les événements de Security posture vers OCSF.
- Pour savoir qui a accepté quel risque, quand, et jusqu’à quand, consultez Référence des événements de Security posture ; pour les risques en vigueur, consultez Résultats actuels.
Pour exploiter les résultats actuels issus du point de terminaison, consultez ces pages :
- Pour les tableaux de bord, consultez Référence des résultats de Security posture.
- Pour vérifier les événements stockés, consultez Comparer les événements stockés de Security posture aux résultats actuels.
- Si le point de terminaison et la page ne concordent pas, consultez Comment une attestation apparaît dans la réponse.
Pour comprendre les données, poursuivez votre lecture.
Ce que Security posture évalue
Security posture évalue une liste de contrôles et attribue un résultat à chacun d’eux.
Contrôles
Un contrôle est un paramètre ou une pratique recommandés, comme l’authentification unique. Chaque contrôle possède un nom d’affichage et un identifiant. L’identifiant est le même pour toutes les organisations. Un contrôle peut également avoir une valeur actuelle (current_value) et une valeur recommandée (desired_state). Il existe trois types de contrôles :
| Type | Ce qui détermine son résultat | Exemple |
|---|---|---|
| Contrôle automatique | Une vérification automatique de la valeur actuelle par rapport à la valeur recommandée, sauf si une attestation est en vigueur. | sso_enabled |
| Contrôle manuel | Une personne, car Anthropic ne peut pas lire le paramètre, par exemple lorsqu’il se trouve dans la console d’un autre fournisseur. | oauth_conditional_access |
| Contrôle informatif | Rien : il n’existe pas de valeur recommandée, le contrôle est donc indiqué et non noté. | allowed_invite_domains |
Attestations
Une attestation est la déclaration enregistrée d’une personne sur la situation de l’organisation vis-à-vis d’un contrôle ; ce n’est pas le résultat d’une vérification. La plupart des contrôles peuvent porter une attestation, y compris les contrôles automatiques, quel que soit le résultat de leur vérification. Une attestation prend l’une de trois valeurs :
- Effectué (
completed) : le contrôle est en place. - Risque accepté (
accepted_risk) : le contrôle n’est pas en place, et l’organisation accepte le risque. - Échoué (
control_failed) : le contrôle n’est pas en place.
C’est sur la page qu’une personne habilitée à attester enregistre une attestation. L’API lit les attestations et ne peut pas en créer. La page peut poser une question lorsque quelqu’un atteste, en exigeant parfois une réponse, et stocke la réponse avec l’attestation en tant que commentaire de celle-ci, d’au plus 2 000 caractères. Une activité du flux d’activité n’inclut jamais le commentaire et n’indique jamais qu’il en existe un. Le point de terminaison ne renvoie pas non plus de commentaires.
Résultats
Chaque contrôle a l’un de quatre résultats.
| Résultat | Signification |
|---|---|
Réussi (passed) | Respecte la valeur recommandée, ou une attestation Effectué ou Risque accepté est en vigueur. |
Échoué (failed) | Ne respecte pas la valeur recommandée, ou fait l’objet d’une attestation Échoué (control_failed). |
Non attesté (not_attested) | Un contrôle manuel sans attestation en vigueur. |
Descriptif (descriptive) | Non noté, même lorsqu’il fait l’objet d’une attestation ; cela couvre les contrôles informatifs et les contrôles qui ne s’appliquent pas ou n’ont pas pu être lus. |
Un risque accepté en vigueur compte comme Réussi pour un contrôle automatique ou manuel, bien que le contrôle ne soit pas en place. Dans la réponse, un contrôle automatique attesté comme Effectué alors que sa vérification automatique n’est pas satisfaite a la valeur failed.
Ce qui met fin à une attestation
Une attestation reste en vigueur jusqu’à ce que l’un de ces trois événements se produise :
- Quelqu’un la retire ou la modifie.
- Sa date de fin (
review_date) arrive. La personne qui atteste choisit 90 jours ou aucune date de fin. - Pour un contrôle automatique ou informatif, la valeur actuelle change ou, pour un risque accepté sur certains contrôles automatiques, la vérification automatique est satisfaite.
Sans attestation en vigueur, le résultat d’un contrôle automatique suit sa vérification, et un contrôle manuel est Non attesté.
Changements dans le temps : le flux d’activité
Le flux d’activité indique ce qui a changé, quand, et qui l’a changé. Il enregistre une activité lorsque quelqu’un atteste un contrôle, modifie une attestation ou en retire une, et parfois lorsqu’une attestation prend fin automatiquement.
Les titres de ces pages appellent ces activités des événements. Leur lecture nécessite la portée read:compliance_activities ou read:org_audit. La page Référence des événements de Security posture répertorie leurs champs. Pour les collecter, consultez Envoyer les événements de Security posture vers votre SIEM.
Résultats actuels : le point de terminaison
Le point de terminaison indique le résultat d’un contrôle au moment de la requête. Utilisez-le pour établir des rapports sur les organisations rattachées à votre organisation parente. Chaque appel lit une seule organisation et ne renvoie aucun historique. Pour chaque contrôle qu’elle répertorie, la réponse donne son id, son display_name et son résultat dans rating, à l’aide des identifiants du tableau des résultats.
Son appel nécessite la portée read:compliance_org_data ou read:org_audit.
La page, le point de terminaison et le flux ne présentent pas toujours la même chose, car la réponse omet certains contrôles et certaines attestations. Consultez Comment une attestation apparaît dans la réponse et Comparer les événements stockés de Security posture aux résultats actuels.
Disponibilité
Security posture est en version bêta.
Si votre organisation dispose du forfait Claude Enterprise, que Security posture lui est accessible et que son organisation parente a activé la Compliance API, le flux d’activité enregistre les activités d’attestation la concernant, et le point de terminaison renvoie les résultats de votre organisation.
Vous avez également besoin d’une Compliance Access Key disposant de la portée correspondante. Ces pages supposent que vous avez lu Configurer la Compliance API et Interroger le flux d’activité.
Si votre organisation dispose d’un autre forfait, ou s’il s’agit d’une organisation Claude Console, le flux d’activité n’enregistre aucune activité de Security posture la concernant, et le point de terminaison renvoie 404.
Si la page Security posture a été désactivée pour votre organisation, le point de terminaison renvoie 404 pour votre organisation jusqu’à ce que la page soit réactivée. Même une clé de l’organisation parente reçoit ce 404.
Pour certaines organisations, le point de terminaison renvoie 404 même lorsque les trois conditions sont remplies et que la page n’a pas été désactivée.
Qui peut voir qui a attesté
Chaque activité d’attestation causée par une personne enregistre son identifiant utilisateur, son adresse e-mail à ce moment-là, ainsi que l’adresse IP et l’agent utilisateur de la requête. N’importe quelle clé qui couvre l’organisation et détient read:compliance_activities ou read:org_audit peut les lire, même après que la personne a quitté l’organisation ou que son compte a été supprimé. La suppression de l’organisation ne retire pas ces activités du flux d’activité, qui conserve les activités pendant 6 ans. Les clés propres à l’organisation cessent de fonctionner lorsque celle-ci est supprimée.
N’importe quelle clé disposant à la fois de read:compliance_org_data et de read:compliance_user_data, ou de read:org_audit, peut lire, dans le champ attested_by du point de terminaison, l’identifiant utilisateur de la personne qui a attesté, lorsque le point de terminaison renvoie cette information, même pour les attestations effectuées avant que vous n’ayez obtenu l’accès.
Ces valeurs sont des données personnelles ; vos copies subsistent au-delà de l’appartenance de la personne à l’organisation. Avant de collecter ces données, informez les personnes qui attestent.
Ce qu’Anthropic stocke lorsque quelqu’un atteste
Anthropic stocke une attestation par contrôle, y compris la valeur, le moment où elle a été effectuée, l’éventuelle date de fin et le compte de la personne qui a attesté. Le fait d’attester à nouveau remplace cette attestation.
Anthropic continue de stocker une attestation après l’arrivée de sa date de fin ou après qu’elle a pris fin automatiquement, jusqu’à ce que quelqu’un la retire ou qu’Anthropic la supprime en supprimant l’organisation. Si le compte de la personne qui a attesté est supprimé, Anthropic continue de stocker l’attestation, qui n’indique plus qui a attesté. Les éventuelles activités du flux d’activité causées par cette personne nomment encore cette personne. Le retrait ou le remplacement d’une attestation ne supprime rien du flux d’activité (consultez Qui peut voir qui a attesté).
Les clés de chiffrement gérées par le client (CMEK), la conservation zéro des données (ZDR) pour Claude Code et un forfait Enterprise prêt pour HIPAA ne modifient pas ce qu’Anthropic stocke du contrôle, de la valeur, des dates et du compte d’une attestation. Aucun des trois ne raccourcit la durée pendant laquelle Anthropic stocke ces éléments. CMEK ne chiffre pas ces champs.
Anthropic stocke le commentaire d’une attestation jusqu’à ce que quelqu’un retire l’attestation ou qu’Anthropic supprime le commentaire en supprimant l’organisation. Le fait d’attester à nouveau peut remplacer ou supprimer le commentaire. Tant que Security posture n’est pas accessible à une organisation, Anthropic continue de stocker les attestations et les commentaires de cette organisation, et personne ne peut les voir ni les retirer sur la page Security posture. Une période de conservation personnalisée des conversations ne raccourcit pas la durée pendant laquelle Anthropic stocke l’attestation ou le commentaire. Les activités du flux d’activité n’incluent jamais le commentaire (consultez Ce que le flux ne consigne pas).
Cette page vous a-t-elle été utile ?