Compliance APIにおけるSecurity posture
claude.aiのSecurity postureのページ（Security Center）についてCompliance APIが公開する内容と、どこから始めればよいかを理解します。
claude.aiの組織設定にあるSecurity postureのページでは、組織のClaudeの設定をAnthropicの推奨するセキュリティコントロールと比較します。Compliance APIを通じて、セキュリティツールはこのページが記録する変更を読み取れます。現在の結果も読み取れます。Security postureは設定について報告するだけで、設定を変更しません。サイドバーの項目はSecurity postureで、開いたページの見出しはSecurity Centerです。
進め方を選ぶ
ページ上の変更をセキュリティ情報イベント管理（SIEM）システムに取り込むには、Security postureのイベントをSIEMに送信するから始めてください。すでにアクティビティフィード全体を取り込んでいる場合は、これらのイベントもすでに含まれています。2つの点を確認してください。
- リスクの高い変更についてアラートを出すには、Security postureの変更を検出するを参照してください。
- Open Cybersecurity Schema Framework（OCSF）に正規化するには、Security postureのイベントをOCSFにマッピングするを参照してください。
- 誰がどのリスクを、いつ、いつまで受容したかを確認するには、Security postureのイベントリファレンスを参照してください。有効なリスク受容については、現在の結果を参照してください。
エンドポイントから取得した現在の結果を扱うには、次のページを使用してください：
- ダッシュボードについては、Security postureの結果リファレンスを参照してください。
- 保存済みのイベントを検証するには、保存済みのSecurity postureのイベントを現在の結果と照合するを参照してください。
- エンドポイントとページの内容が一致しない場合は、表明がレスポンスにどのように表示されるかを参照してください。
データについて理解するには、このまま読み進めてください。
Security postureが評価する内容
Security postureはコントロールの一覧を評価し、それぞれに結果を与えます。
コントロール
コントロールとは、シングルサインオンなど、1つの推奨される設定または運用のことです。各コントロールには、表示名と識別子があります。識別子はすべての組織で共通です。コントロールには、現在の値（current_value）と推奨値（desired_state）がある場合もあります。コントロールには次の3種類があります。
| 種類 | 結果を決定するもの | 例 |
|---|---|---|
| 自動コントロール | 表明が有効でない限り、現在の値と推奨値を比較する自動チェック。 | sso_enabled |
| 手動コントロール | 人。Anthropicが設定を読み取れないためです。たとえば、設定が他のベンダーのコンソールにある場合です。 | oauth_conditional_access |
| 参考情報コントロール | なし。推奨値がないため、コントロールは報告されますが、合否を判定しません。 | allowed_invite_domains |
表明
表明とは、あるコントロールについて組織がどのような状態にあるかを人が記録した声明であり、チェックの結果ではありません。自動コントロールを含むほとんどのコントロールには、チェックの結果にかかわらず表明を付けることができます。表明の値は次の3つのいずれかです。
- 完了（
completed）：コントロールが導入されています。 - リスク受容（
accepted_risk）：コントロールは導入されておらず、組織はそのリスクを受け入れています。 - 不合格（
control_failed）：コントロールが導入されていません。
表明を行える人は、ページ上で表明します。APIは表明を読み取るだけで、表明を作成することはできません。誰かが表明するときに、ページで質問が表示されることがあり、回答が必須の場合もあります。ページはその回答を、最大2,000文字のコメントとして表明とともに保存します。アクティビティフィードのアクティビティに、コメントが含まれたり、コメントが存在することが示されたりすることはありません。エンドポイントもコメントを返しません。
結果
各コントロールには、次の4つの結果のいずれかがあります。
| 結果 | 意味 |
|---|---|
合格（passed） | 推奨値を満たしているか、完了またはリスク受容の表明が有効です。 |
不合格（failed） | 推奨値を満たしていないか、不合格（control_failed）として表明されています。 |
未表明（not_attested） | 有効な表明がない手動コントロールです。 |
参考情報（descriptive） | 表明されていても合否を判定しません。参考情報コントロールと、適用されないコントロールまたは読み取れなかったコントロールが該当します。 |
有効なリスク受容は、自動コントロールまたは手動コントロールでは、コントロールが導入されていなくても合格として扱われます。レスポンスでは、チェックが失敗している間に完了として表明されている自動コントロールはfailedになります。
表明が終了する条件
表明は、次の3つのいずれかが起こるまで有効です。
- 誰かが表明を取り消すか変更する。
- 終了日（
review_date）が到来する。表明する人は、90日またはなしを選択します。 - 自動コントロールまたは参考情報コントロールで、現在の値が変わる、または一部の自動コントロールでリスク受容の場合は自動チェックが成功する。
有効な表明がない場合、自動コントロールの結果はチェックに従い、手動コントロールは未表明になります。
時間経過に伴う変更：アクティビティフィード
アクティビティフィードは、何が、いつ変更され、誰が変更したかに答えます。誰かがコントロールについて表明したとき、表明を変更したとき、または表明を取り消したときにアクティビティを記録し、表明が自動的に終了したときにも記録することがあります。
これらのページのタイトルでは、アクティビティをイベントと呼んでいます。読み取るにはread:compliance_activitiesまたはread:org_auditスコープが必要です。Security postureのイベントリファレンスにはそのフィールドが記載されています。収集するには、Security postureのイベントをSIEMに送信するを参照してください。
現在の結果：エンドポイント
エンドポイントは、リクエスト時点でのコントロールの結果が何であるかに答えます。親組織配下の組織全体についてレポートするために使用します。各呼び出しは1つの組織を読み取り、履歴は返しません。レスポンスは、含まれる各コントロールについて、そのid、display_name、およびratingでの結果を、結果の表にある識別子を使って示します。
呼び出すにはread:compliance_org_dataまたはread:org_auditスコープが必要です。
レスポンスには一部のコントロールと一部の表明が含まれないため、ページ、エンドポイント、フィードが常に同じ内容を示すとは限りません。表明がレスポンスにどのように表示されるかと保存済みのSecurity postureのイベントを現在の結果と照合するを参照してください。
利用可能性
Security postureはベータ版です。
組織がClaude Enterpriseを利用しており、その組織でSecurity postureが利用可能で、かつ親組織でCompliance APIが有効になっている場合、アクティビティフィードはその組織の表明のアクティビティを記録します。また、エンドポイントはその組織の結果を返します。
また、対応するスコープを持つCompliance Access Keyも必要です。これらのページは、Compliance APIをセットアップするとアクティビティフィードをクエリするを読んでいることを前提としています。
組織が他のプランを利用している場合、またはClaude Consoleの組織である場合、アクティビティフィードはその組織のSecurity postureのアクティビティを記録しません。また、エンドポイントは404を返します。
お客様の組織に対してSecurity postureページがオフにされた場合、ページがオンにされるまで、エンドポイントはお客様の組織に対して404を返します。親組織のキーであっても、その404が返されます。
一部の組織では、3つの条件をすべて満たし、かつページがオフにされていなくても、エンドポイントが404を返します。
誰が表明したかを確認できる人
人によって引き起こされた各表明のアクティビティには、その人のユーザーID、その時点のメールアドレス、およびリクエストのIPアドレスとユーザーエージェントが記録されます。組織を対象に含み、read:compliance_activitiesまたはread:org_auditを持つキーであればどのキーでも、その人が組織を離れた後、またはその人のアカウントが削除された後であっても、これらを読み取ることができます。組織を削除しても、これらのアクティビティはアクティビティフィードから削除されません。アクティビティフィードはアクティビティを6年間保持します。組織自体のキーは、組織が削除されると機能しなくなります。
read:compliance_org_dataとread:compliance_user_dataの両方、またはread:org_auditを持つキーであればどのキーでも、アクセス権を得る前に行われた表明であっても、エンドポイントが返す場合に、表明した人のユーザーIDをエンドポイントのattested_byで読み取れます。
これらの値は個人データであり、保存したコピーはその人のメンバーシップが終了した後も残ります。このデータを収集する前に、表明を行う人に知らせてください。
誰かが表明したときにAnthropicが保存する内容
Anthropicは、コントロールごとに1つの表明を保存します。保存する内容には、値、表明された日時、終了日（ある場合）、表明した人のアカウントなどが含まれます。再度表明すると、保存されている表明が置き換えられます。
Anthropicは、表明の終了日が到来した後や、表明が自動的に終了した後も、誰かがその表明を取り消すか、Anthropicが組織の削除に伴ってその表明を削除するまで、その表明を保存し続けます。表明した人のアカウントが削除された場合も、Anthropicは表明を保存し続けますが、その表明には誰が表明したかが示されなくなります。その人が引き起こしたアクティビティフィードのアクティビティがあれば、それらには引き続きその人が示されます。表明を取り消したり置き換えたりしても、アクティビティフィードからは何も削除されません（誰が表明したかを確認できる人を参照してください）。
顧客管理の暗号化キー（CMEK）、Claude Codeのゼロデータ保持（ZDR）、およびHIPAA対応Enterpriseプランは、いずれも、Anthropicが表明のコントロール、値、日付、アカウントについて何を保存するかを変更しません。この3つのうち、Anthropicがこれらの要素を保存する期間を短くするものはありません。CMEKは、表明のこれら4つの要素を暗号化しません。
Anthropicは、誰かが表明を取り消す、またはAnthropicが組織の削除に伴ってコメントを削除する、のいずれかが起こるまで、表明のコメントを保存します。再度表明することで、コメントが置き換えられるか削除される場合があります。組織でSecurity postureが利用可能でない間も、Anthropicはその組織の表明とコメントを保存し続けますが、Security postureページでそれらを確認したり取り消したりできる人はいません。カスタム会話保持期間によって、Anthropicが表明やコメントを保存する期間が短くなることはありません。アクティビティフィードのアクティビティにコメントが含まれることはありません（フィードが記録しない内容を参照してください）。
このページは役に立ちましたか？