Security posture na Compliance API
Entenda o que a Compliance API expõe sobre a página Security posture (Security Center) no claude.ai e por onde começar.
A página Security posture em Configurações da organização no claude.ai compara as configurações do Claude da sua organização com os controles de segurança recomendados pela Anthropic. Por meio da Compliance API, suas ferramentas de segurança podem ler as alterações que a página registra. Elas também podem ler os resultados atuais. O Security posture relata suas configurações e não as altera. O item da barra lateral é Security posture, e a página que ele abre tem o título Security Center.
Escolha seu caminho
Para levar as alterações da página ao seu sistema de gerenciamento de informações e eventos de segurança (SIEM), comece por Enviar eventos de Security posture para o seu SIEM. Se você já ingere todo o Activity Feed, você já os tem; verifique duas coisas.
- Para gerar alertas sobre alterações arriscadas, consulte Detectar alterações de Security posture.
- Para normalizar para o Open Cybersecurity Schema Framework (OCSF), consulte Mapear eventos de Security posture para OCSF.
- Para descobrir quem aceitou qual risco, quando e até quando, consulte Referência de eventos de Security posture; para os riscos em vigor, consulte Resultados atuais.
Para trabalhar com os resultados atuais do endpoint, use estas páginas:
- Para dashboards, consulte Referência de resultados de Security posture.
- Para verificar eventos armazenados, consulte Verificar eventos armazenados de Security posture em relação aos resultados atuais.
- Se o endpoint e a página divergirem, consulte Como uma atestação aparece na resposta.
Para entender os dados, continue lendo.
O que o Security posture avalia
O Security posture avalia uma lista de controles e dá a cada um deles um resultado.
Controles
Um controle é uma configuração ou prática recomendada, como o single sign-on. Cada controle tem um nome de exibição e um identificador. O identificador é o mesmo para todas as organizações. Um controle também pode ter um valor atual (current_value) e um valor recomendado (desired_state). Há três tipos de controles:
| Tipo | O que decide seu resultado | Exemplo |
|---|---|---|
| Controle automático | Uma verificação automática do valor atual em relação ao valor recomendado, a menos que uma atestação esteja em vigor. | sso_enabled |
| Controle manual | Uma pessoa, porque a Anthropic não consegue ler a configuração, por exemplo, quando ela fica no console de outro fornecedor. | oauth_conditional_access |
| Controle apenas informativo | Nada: não há valor recomendado, então o controle é relatado e não classificado. | allowed_invite_domains |
Atestações
Uma atestação é a declaração registrada de uma pessoa sobre a situação da organização em relação a um controle; ela não é o resultado de uma verificação. A maioria dos controles pode ter uma atestação, incluindo os automáticos, qualquer que seja o resultado da sua verificação. Uma atestação tem um de três valores:
- Concluído (
completed): o controle está implementado. - Risco aceito (
accepted_risk): o controle não está implementado, e a organização aceita o risco. - Reprovado (
control_failed): o controle não está implementado.
Quem pode atestar faz isso na página. A API lê atestações e não pode criá-las. A página pode fazer uma pergunta quando alguém atesta, às vezes exigindo uma resposta, e armazena a resposta com a atestação como o comentário dela, de até 2.000 caracteres. Uma atividade do Activity Feed nunca inclui o comentário nem indica que exista um. O endpoint também não retorna comentários.
Resultados
Cada controle tem um de quatro resultados.
| Resultado | Significado |
|---|---|
Aprovado (passed) | Atende ao valor recomendado, ou uma atestação de Concluído ou Risco aceito está em vigor. |
Reprovado (failed) | Não atende ao valor recomendado, ou está atestado como Reprovado (control_failed). |
Não atestado (not_attested) | Um controle manual sem nenhuma atestação em vigor. |
Descritivo (descriptive) | Não classificado, mesmo quando atestado; abrange controles apenas informativos e controles que não se aplicam ou não puderam ser lidos. |
Um risco aceito em vigor conta como Aprovado em um controle automático ou manual, embora o controle não esteja implementado. Na resposta, um controle automático atestado como Concluído enquanto sua verificação falha é failed.
O que faz uma atestação deixar de estar em vigor
Uma atestação permanece em vigor até que uma de três coisas aconteça:
- Alguém a remove ou a altera.
- Sua data de término (
review_date) chega. A pessoa que atesta escolhe 90 dias ou nenhuma. - Em um controle automático ou apenas informativo, o valor atual muda ou, no caso de um risco aceito em alguns controles automáticos, a verificação automática passa.
Sem uma atestação em vigor, o resultado de um controle automático segue sua verificação, e um controle manual fica como Não atestado.
Alterações ao longo do tempo: o Activity Feed
O Activity Feed responde o que mudou, quando e quem mudou. Ele registra uma atividade quando alguém atesta um controle, altera uma atestação ou remove uma, e às vezes quando uma deixa de estar em vigor automaticamente.
Os títulos destas páginas chamam as atividades de eventos. Lê-las exige o escopo read:compliance_activities ou read:org_audit. Referência de eventos de Security posture lista seus campos. Para coletá-las, consulte Enviar eventos de Security posture para o seu SIEM.
Resultados atuais: o endpoint
O endpoint responde qual é o resultado de um controle no momento da requisição. Use-o para gerar relatórios sobre as organizações sob a sua organização pai. Cada chamada lê uma organização e não retorna histórico. Para cada controle que lista, a resposta fornece seu id, seu display_name e seu resultado em rating, usando os identificadores da tabela de resultados.
Chamá-lo exige o escopo read:compliance_org_data ou read:org_audit.
A página, o endpoint e o feed nem sempre mostram a mesma coisa, porque a resposta omite alguns controles e algumas atestações. Consulte Como uma atestação aparece na resposta e Verificar eventos armazenados de Security posture em relação aos resultados atuais.
Disponibilidade
O Security posture está em beta.
Se a sua organização está no Claude Enterprise, o Security posture está disponível para ela e a organização pai dela tem a Compliance API habilitada, o Activity Feed registra atividades de atestação para ela, e o endpoint retorna os resultados da sua organização.
Você também precisa de uma Compliance Access Key com o escopo correspondente. Estas páginas pressupõem que você leu Configurar a Compliance API e Consultar o Activity Feed.
Se a sua organização está em outro plano ou é uma organização do Claude Console, o Activity Feed não registra nenhuma atividade de Security posture para ela, e o endpoint retorna 404.
Se a página Security posture tiver sido desativada para a sua organização, o endpoint retorna 404 para a sua organização até que a página seja ativada. Mesmo uma chave da organização pai recebe esse 404.
Para algumas organizações, o endpoint retorna 404 mesmo quando todas as três condições são atendidas e a página não foi desativada.
Quem pode ver quem atestou
Cada atividade de atestação causada por uma pessoa registra o ID de usuário dela, o endereço de e-mail dela naquele momento e o endereço IP e o user agent da requisição. Qualquer chave que abranja a organização e tenha read:compliance_activities ou read:org_audit pode lê-los, mesmo depois que a pessoa sai da organização ou que a conta dela é excluída. Excluir a organização não remove essas atividades do Activity Feed, que retém as atividades por 6 anos. As próprias chaves da organização deixam de funcionar quando ela é excluída.
Qualquer chave com read:compliance_org_data e read:compliance_user_data, ou com read:org_audit, pode ler, em attested_by do endpoint, o ID de usuário da pessoa que atestou, quando o endpoint o retorna, mesmo para atestações feitas antes de você ter acesso.
Esses valores são dados pessoais; suas cópias sobrevivem à participação da pessoa na organização. Antes de coletar esses dados, informe as pessoas que atestam.
O que a Anthropic armazena quando alguém atesta
A Anthropic armazena uma atestação por controle, incluindo o valor, quando ela foi feita, a data de término, se houver, e a conta da pessoa que atestou. Atestar novamente a substitui.
A Anthropic continua armazenando uma atestação depois que a data de término dela chega ou que ela deixa de estar em vigor automaticamente, até que alguém a remova ou que a Anthropic a exclua ao excluir a organização. Se a conta da pessoa que atestou for excluída, a Anthropic continua armazenando a atestação, que deixa de indicar quem atestou. Quaisquer atividades do Activity Feed causadas por essa pessoa continuam identificando essa pessoa. Remover ou substituir a atestação não remove nada do Activity Feed (consulte Quem pode ver quem atestou).
Chaves de criptografia gerenciadas pelo cliente (CMEK), a retenção zero de dados (ZDR) para o Claude Code e um plano Enterprise pronto para HIPAA não alteram o que a Anthropic armazena do controle, do valor, das datas e da conta de uma atestação. Nenhum dos três encurta o tempo durante o qual a Anthropic armazena esses campos. O CMEK não criptografa esses campos.
A Anthropic armazena o comentário de uma atestação até que alguém remova a atestação ou que a Anthropic exclua o comentário ao excluir a organização. Atestar novamente pode substituir ou remover o comentário. Enquanto o Security posture não estiver disponível para uma organização, a Anthropic continua armazenando as atestações e os comentários dela, e ninguém pode vê-los nem removê-los na página Security posture. Um período de retenção de conversas personalizado não encurta o tempo durante o qual a Anthropic armazena a atestação ou o comentário. As atividades do Activity Feed nunca incluem o comentário (consulte O que o feed não registra).
Esta página foi útil?