---
title: Compliance API의 Security posture
url: https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/overview
description: claude.ai의 Security posture 페이지(Security Center)에 대해 Compliance API가 제공하는 정보와 어디서부터 시작하면 되는지 알아보세요.
---

<Note>
  Compliance API를 활성화하려면 [Compliance API 설정](https://platform.claude.com/docs/ko/manage-claude/compliance-api-access)을 참조하세요.
</Note>

claude.ai **조직 설정**의 **Security posture** 페이지는 조직의 Claude 설정을 Anthropic의 권장 보안 통제와 비교합니다. Compliance API를 통해 보안 도구는 이 페이지가 기록하는 변경 사항을 읽을 수 있습니다. 보안 도구는 현재 결과도 읽을 수 있습니다. Security posture는 설정에 대해 보고할 뿐이며 설정을 변경하지 않습니다. 사이드바 항목의 이름은 **Security posture**이며, 이 항목이 여는 페이지의 제목은 **Security Center**입니다.

## 경로 선택하기

페이지의 변경 사항을 “security information and event management”(보안 정보 및 이벤트 관리), 즉 SIEM 시스템으로 가져오려면 [Security posture 이벤트를 SIEM으로 전송하기](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/send-events)부터 시작하세요. 이미 전체 Activity Feed를 수집하고 있다면 해당 이벤트도 이미 받고 있으므로, [두 가지를 확인하세요](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/send-events#if-you-already-ingest-the-full-feed).

* 위험한 변경 사항에 대해 경보를 받으려면 [Security posture 변경 사항 감지하기](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/detect-changes)를 참조하세요.
* “Open Cybersecurity Schema Framework”(개방형 사이버 보안 스키마 프레임워크), 즉 OCSF로 정규화하려면 [Security posture 이벤트를 OCSF에 매핑하기](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/ocsf-mapping)를 참조하세요.
* 누가 어떤 위험을 언제, 언제까지 수용했는지 확인하려면 [Security posture 이벤트 참조](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/events-reference)를 참조하세요. 유효한 위험 수용은 [현재 결과](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/overview#current-results)를 참조하세요.

엔드포인트의 현재 결과를 활용하려면 다음 페이지를 참조하세요.

* 대시보드의 경우 [Security posture 결과 참조](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/results-reference)를 참조하세요.
* 저장된 이벤트를 검증하려면 [저장된 Security posture 이벤트를 현재 결과와 대조하기](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/check-events-against-results)를 참조하세요.
* 엔드포인트와 페이지의 내용이 서로 다르면 [응답에 진술이 나타나는 방식](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response)을 참조하세요.

데이터를 이해하려면 계속 읽어 보세요.

## Security posture가 평가하는 항목

Security posture는 통제 목록을 평가하고 각 통제에 결과를 부여합니다.

### 통제

통제는 싱글 사인온(SSO)과 같은 하나의 권장 설정 또는 관행입니다. 각 통제에는 표시 이름과 식별자가 있습니다. 식별자는 모든 조직에서 동일합니다. 통제에는 현재 값 (`current_value`)과 권장 값 (`desired_state`)도 있을 수 있습니다. 통제는 세 종류로 나뉩니다:

| 종류        | 결과를 결정하는 요소                                                          | 예시                         |
| --------- | -------------------------------------------------------------------- | -------------------------- |
| 자동 통제     | 유효한 진술이 없는 한, 현재 값을 권장 값과 비교하는 자동 검사.                                | `sso_enabled`              |
| 수동 통제     | 사람. Anthropic이 해당 설정을 읽을 수 없기 때문이며, 예를 들어 설정이 다른 공급업체의 콘솔에 있는 경우입니다. | `oauth_conditional_access` |
| 정보 제공용 통제 | 없음: 권장 값이 없으므로 통제는 보고되지만 결과가 부여되지 않습니다.                              | `allowed_invite_domains`   |

### 진술

진술은 특정 통제에 대해 조직이 어떤 상태인지를 사람이 기록한 것이며, 검사 결과가 아닙니다. 자동 통제를 포함한 대부분의 통제에는 검사 결과와 관계없이 진술을 남길 수 있습니다. 진술은 다음 세 가지 값 중 하나를 가집니다:

* 완료(`completed`): 통제가 적용되어 있습니다.
* 위험 수용(`accepted_risk`): 통제가 적용되어 있지 않으며, 조직이 그 위험을 수용합니다.
* 실패(`control_failed`): 통제가 적용되어 있지 않습니다.

진술할 수 있는 사람은 페이지에서 진술합니다. API는 진술을 읽을 수 있지만 진술을 생성할 수는 없습니다. 페이지는 누군가 진술할 때 질문을 할 수 있으며 때로는 답변을 요구하기도 하고, 답변은 최대 2,000자까지 진술의 [코멘트](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/overview#what-anthropic-stores-when-someone-attests)로 진술과 함께 저장됩니다. Activity Feed 활동에는 어떤 경우에도 코멘트가 포함되지 않으며, 코멘트가 있다는 사실도 표시되지 않습니다. 엔드포인트도 코멘트를 반환하지 않습니다.

### 결과

각 통제에는 네 가지 결과 중 하나가 부여됩니다.

| 결과                    | 의미                                                                   |
| --------------------- | -------------------------------------------------------------------- |
| 통과 (`passed`)         | 권장 값을 충족하거나, 완료 또는 위험 수용 진술이 유효합니다.                                  |
| 실패 (`failed`)         | 권장 값을 충족하지 않거나, 실패(`control_failed`)로 진술되었습니다.                       |
| 미진술 (`not_attested`)  | 유효한 진술이 없는 수동 통제입니다.                                                 |
| 정보 제공 (`descriptive`) | 진술이 있더라도 결과가 부여되지 않습니다. 정보 제공용 통제와, 적용되지 않거나 읽을 수 없었던 통제가 여기에 해당합니다. |

유효한 위험 수용은 통제가 적용되어 있지 않더라도 자동 통제나 수동 통제에서 통과로 간주됩니다. 응답에서, [자동 검사 기준을 충족하지 못하는 동안 완료로 진술된](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response) 자동 통제는 `failed`입니다.

### 진술이 종료되는 경우

진술은 다음 세 가지 중 하나가 발생할 때까지 유효합니다:

* 누군가 진술을 해제하거나 변경합니다.
* 만료일(`review_date`)이 도래합니다. 진술하는 사람은 90일 또는 만료일 없음 중에서 선택합니다.
* 자동 통제 또는 정보 제공용 통제에서 현재 값이 변경되거나, 일부 자동 통제에서 위험 수용이 적용된 상태일 때 자동 검사 기준을 충족하게 되는 경우입니다.

유효한 진술이 없으면 자동 통제의 결과는 검사 결과를 따르고, 수동 통제는 미진술이 됩니다.

## 시간에 따른 변경 사항: Activity Feed

Activity Feed는 무엇이 언제 변경되었고 누가 변경했는지에 답합니다. 누군가 통제에 대해 진술하거나, 진술을 변경하거나, 진술을 해제할 때 활동을 기록하며, 진술이 자동으로 종료될 때 기록하기도 합니다.

이 페이지들의 제목에서는 활동을 이벤트라고 부릅니다. 이벤트를 읽으려면 `read:compliance_activities` 또는 `read:org_audit` 범위가 필요합니다. [Security posture 이벤트 참조](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/events-reference)에 해당 필드가 나열되어 있습니다. 이벤트를 수집하려면 [Security posture 이벤트를 SIEM으로 전송하기](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/send-events)를 참조하세요.

## 현재 결과: 엔드포인트

엔드포인트는 요청 시점에 통제의 결과가 무엇인지에 답합니다. [상위 조직](https://platform.claude.com/docs/ko/manage-claude/compliance-api#how-the-compliance-api-works) 아래의 여러 조직에 걸쳐 보고하는 데 사용하세요. 각 호출은 하나의 조직을 읽으며 이력은 반환하지 않습니다. 응답은 나열하는 각 통제에 대해 해당 통제의 `id`, `display_name`, 그리고 `rating`에 담긴 결과를 [결과 표](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/overview#results)의 식별자를 사용하여 제공합니다.

호출하려면 `read:compliance_org_data` 또는 `read:org_audit` 범위가 필요합니다.

응답에서 일부 통제와 일부 진술이 제외되므로, 페이지, 엔드포인트, 피드에 항상 같은 내용이 나타나는 것은 아닙니다. [응답에 진술이 나타나는 방식](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response) 및 [저장된 Security posture 이벤트를 현재 결과와 대조하기](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/check-events-against-results)를 참조하세요.

## 사용 가능 여부

Security posture는 베타 버전입니다.

**조직이 Claude Enterprise를 사용 중이고, 조직에서 Security posture를 사용할 수 있으며, 상위 조직에 Compliance API가 활성화되어 있는 경우,** Activity Feed는 해당 조직의 진술 활동을 기록합니다. 엔드포인트도 해당 조직의 결과를 반환합니다.

또한 일치하는 범위를 가진 Compliance Access Key가 필요합니다. 이 페이지들은 [Compliance API 설정하기](https://platform.claude.com/docs/ko/manage-claude/compliance-api-access)와 [Activity Feed 쿼리하기](https://platform.claude.com/docs/ko/manage-claude/compliance-activity-feed)를 읽었다고 가정합니다.

**조직이 다른 플랜을 사용 중이거나 Claude Console 조직인 경우,** Activity Feed는 해당 조직의 Security posture 활동을 기록하지 않습니다. 엔드포인트도 404를 반환합니다.

**해당 조직에 대해 Security posture 페이지가 꺼짐으로 설정되었다면,** 엔드포인트는 페이지가 켜짐으로 설정될 때까지 해당 조직에 대해 404를 반환합니다. 상위 조직의 키도 이 404를 받습니다.

일부 조직의 경우 세 가지 조건이 모두 충족되고 페이지가 꺼짐으로 설정되지 않았더라도 엔드포인트가 404를 반환합니다.

## 진술한 사람을 볼 수 있는 사람

사람이 일으킨 각 진술 활동에는 해당 사용자의 사용자 ID, 당시의 이메일 주소, 요청의 IP 주소 및 사용자 에이전트가 기록됩니다. 조직을 포괄하고 `read:compliance_activities` 또는 `read:org_audit`를 보유한 키라면 어느 키든 이 정보를 읽을 수 있으며, 해당 사용자가 조직을 떠나거나 계정이 삭제된 후에도 마찬가지입니다. 조직을 삭제해도 Activity Feed에서 이 활동이 제거되지 않으며, Activity Feed는 활동을 6년간 보관합니다. 조직이 삭제되면 해당 조직 자체의 키는 더 이상 작동하지 않습니다.

`read:compliance_org_data`와 `read:compliance_user_data`를 모두 보유하거나 `read:org_audit`를 보유한 키라면 어느 키든 엔드포인트가 반환하는 경우 진술한 사람의 사용자 ID를 엔드포인트의 `attested_by`에서 읽을 수 있으며, 이는 액세스 권한을 얻기 전에 이루어진 진술에도 해당됩니다.

이러한 값은 개인 데이터이며, 보관된 사본은 해당 사용자의 구성원 자격이 끝난 후에도 남습니다. 이 데이터를 수집하기 전에 진술하는 사람들에게 알리세요.

## 누군가 진술할 때 Anthropic이 저장하는 항목

Anthropic은 통제당 하나의 진술을 저장하며, 여기에는 값, 진술 시점, 만료일(설정된 경우), 진술한 사람의 계정 등이 포함됩니다. 다시 진술하면 기존 진술이 대체됩니다.

Anthropic은 진술의 만료일이 도래하거나 진술이 [자동으로 종료](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/overview#what-ends-an-attestation)된 후에도, 누군가 진술을 해제하거나 Anthropic이 조직을 삭제하면서 진술도 삭제할 때까지 진술을 계속 저장합니다. 진술한 사람의 계정이 삭제되면 Anthropic은 진술을 계속 저장하지만, 해당 진술에는 더 이상 누가 진술했는지 나타나지 않습니다. 이 사람이 일으킨 Activity Feed 활동이 있으면 그 활동에는 여전히 이 사람이 명시됩니다. 진술을 해제하거나 대체해도 Activity Feed에서는 아무것도 제거되지 않습니다([진술한 사람을 볼 수 있는 사람](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/overview#who-can-see-who-attested) 참조).

[고객 관리형 암호화 키(CMEK)](https://platform.claude.com/docs/ko/manage-claude/cmek)나 [Claude Code용 제로 데이터 보존(ZDR)](https://code.claude.com/docs/en/zero-data-retention)을 사용하거나 [HIPAA 준비 완료 Enterprise 플랜](https://support.claude.com/en/articles/13296973-hipaa-ready-enterprise-plans)을 이용하고 있어도, 진술의 통제, 값, 날짜, 계정에 대해 Anthropic이 무엇을 저장하는지는 달라지지 않습니다. 세 가지 중 어느 것도 Anthropic이 이 항목들을 저장하는 기간을 줄이지 않습니다. CMEK는 진술의 이 네 가지 항목(통제, 값, 날짜, 계정)을 암호화하지 않습니다.

Anthropic은 누군가 진술을 해제하거나 Anthropic이 조직을 삭제하면서 코멘트도 삭제할 때까지 진술의 코멘트를 저장합니다. 다시 진술하면 코멘트가 대체되거나 제거될 수 있습니다. 어떤 조직에서 Security posture를 사용할 수 없는 동안에는 Anthropic이 해당 조직의 진술과 코멘트를 계속 저장하며, 누구도 Security posture 페이지에서 이를 보거나 해제할 수 없습니다. 사용자 지정 대화 보존 기간이 설정되어 있어도 Anthropic이 진술이나 코멘트를 저장하는 기간은 줄어들지 않습니다. Activity Feed 활동에는 어떤 경우에도 코멘트가 포함되지 않습니다([피드가 기록하지 않는 항목](https://platform.claude.com/docs/ko/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record) 참조).