--- title: Security posture na Compliance API url: https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview description: Entenda o que a Compliance API expõe sobre a página Security posture (Security Center) no claude.ai e por onde começar. --- Para habilitar a Compliance API, consulte [Configurar a Compliance API](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api-access). A página **Security posture** em **Configurações da organização** no claude.ai compara as configurações do Claude da sua organização com os controles de segurança recomendados pela Anthropic. Por meio da Compliance API, suas ferramentas de segurança podem ler as alterações que a página registra. Elas também podem ler os resultados atuais. O Security posture relata suas configurações e não as altera. O item da barra lateral é **Security posture**, e a página que ele abre tem o título **Security Center**. ## Escolha seu caminho Para levar as alterações da página ao seu sistema de gerenciamento de informações e eventos de segurança (SIEM), comece por [Enviar eventos de Security posture para o seu SIEM](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/send-events). Se você já ingere todo o Activity Feed, você já os tem; [verifique duas coisas](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/send-events#if-you-already-ingest-the-full-feed). * Para gerar alertas sobre alterações arriscadas, consulte [Detectar alterações de Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/detect-changes). * Para normalizar para o Open Cybersecurity Schema Framework (OCSF), consulte [Mapear eventos de Security posture para OCSF](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/ocsf-mapping). * Para descobrir quem aceitou qual risco, quando e até quando, consulte [Referência de eventos de Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/events-reference); para os riscos em vigor, consulte [Resultados atuais](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#current-results). Para trabalhar com os resultados atuais do endpoint, use estas páginas: * Para dashboards, consulte [Referência de resultados de Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/results-reference). * Para verificar eventos armazenados, consulte [Verificar eventos armazenados de Security posture em relação aos resultados atuais](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results). * Se o endpoint e a página divergirem, consulte [Como uma atestação aparece na resposta](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response). Para entender os dados, continue lendo. ## O que o Security posture avalia O Security posture avalia uma lista de controles e dá a cada um deles um resultado. ### Controles Um controle é uma configuração ou prática recomendada, como o single sign-on. Cada controle tem um nome de exibição e um identificador. O identificador é o mesmo para todas as organizações. Um controle também pode ter um valor atual (`current_value`) e um valor recomendado (`desired_state`). Há três tipos de controles: | Tipo | O que decide seu resultado | Exemplo | | --------------------------- | ---------------------------------------------------------------------------------------------------------------------------- | -------------------------- | | Controle automático | Uma verificação automática do valor atual em relação ao valor recomendado, a menos que uma atestação esteja em vigor. | `sso_enabled` | | Controle manual | Uma pessoa, porque a Anthropic não consegue ler a configuração, por exemplo, quando ela fica no console de outro fornecedor. | `oauth_conditional_access` | | Controle apenas informativo | Nada: não há valor recomendado, então o controle é relatado e não classificado. | `allowed_invite_domains` | ### Atestações Uma atestação é a declaração registrada de uma pessoa sobre a situação da organização em relação a um controle; ela não é o resultado de uma verificação. A maioria dos controles pode ter uma atestação, incluindo os automáticos, qualquer que seja o resultado da sua verificação. Uma atestação tem um de três valores: * Concluído (`completed`): o controle está implementado. * Risco aceito (`accepted_risk`): o controle não está implementado, e a organização aceita o risco. * Reprovado (`control_failed`): o controle não está implementado. Quem pode atestar faz isso na página. A API lê atestações e não pode criá-las. A página pode fazer uma pergunta quando alguém atesta, às vezes exigindo uma resposta, e armazena a resposta com a atestação como o [comentário](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#what-anthropic-stores-when-someone-attests) dela, de até 2.000 caracteres. Uma atividade do Activity Feed nunca inclui o comentário nem indica que exista um. O endpoint também não retorna comentários. ### Resultados Cada controle tem um de quatro resultados. | Resultado | Significado | | ----------------------------- | --------------------------------------------------------------------------------------------------------------------------------------- | | Aprovado (`passed`) | Atende ao valor recomendado, ou uma atestação de Concluído ou Risco aceito está em vigor. | | Reprovado (`failed`) | Não atende ao valor recomendado, ou está atestado como Reprovado (`control_failed`). | | Não atestado (`not_attested`) | Um controle manual sem nenhuma atestação em vigor. | | Descritivo (`descriptive`) | Não classificado, mesmo quando atestado; abrange controles apenas informativos e controles que não se aplicam ou não puderam ser lidos. | Um risco aceito em vigor conta como Aprovado em um controle automático ou manual, embora o controle não esteja implementado. Na resposta, um controle automático [atestado como Concluído enquanto sua verificação falha](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response) é `failed`. ### O que faz uma atestação deixar de estar em vigor Uma atestação permanece em vigor até que uma de três coisas aconteça: * Alguém a remove ou a altera. * Sua data de término (`review_date`) chega. A pessoa que atesta escolhe 90 dias ou nenhuma. * Em um controle automático ou apenas informativo, o valor atual muda ou, no caso de um risco aceito em alguns controles automáticos, a verificação automática passa. Sem uma atestação em vigor, o resultado de um controle automático segue sua verificação, e um controle manual fica como Não atestado. ## Alterações ao longo do tempo: o Activity Feed O Activity Feed responde o que mudou, quando e quem mudou. Ele registra uma atividade quando alguém atesta um controle, altera uma atestação ou remove uma, e às vezes quando uma deixa de estar em vigor automaticamente. Os títulos destas páginas chamam as atividades de eventos. Lê-las exige o escopo `read:compliance_activities` ou `read:org_audit`. [Referência de eventos de Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/events-reference) lista seus campos. Para coletá-las, consulte [Enviar eventos de Security posture para o seu SIEM](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/send-events). ## Resultados atuais: o endpoint O endpoint responde qual é o resultado de um controle no momento da requisição. Use-o para gerar relatórios sobre as organizações sob a sua [organização pai](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api#how-the-compliance-api-works). Cada chamada lê uma organização e não retorna histórico. Para cada controle que lista, a resposta fornece seu `id`, seu `display_name` e seu resultado em `rating`, usando os identificadores da [tabela de resultados](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#results). Chamá-lo exige o escopo `read:compliance_org_data` ou `read:org_audit`. A página, o endpoint e o feed nem sempre mostram a mesma coisa, porque a resposta omite alguns controles e algumas atestações. Consulte [Como uma atestação aparece na resposta](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response) e [Verificar eventos armazenados de Security posture em relação aos resultados atuais](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results). ## Disponibilidade O Security posture está em beta. **Se a sua organização está no Claude Enterprise, o Security posture está disponível para ela e a organização pai dela tem a Compliance API habilitada,** o Activity Feed registra atividades de atestação para ela, e o endpoint retorna os resultados da sua organização. Você também precisa de uma Compliance Access Key com o escopo correspondente. Estas páginas pressupõem que você leu [Configurar a Compliance API](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api-access) e [Consultar o Activity Feed](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-activity-feed). **Se a sua organização está em outro plano ou é uma organização do Claude Console,** o Activity Feed não registra nenhuma atividade de Security posture para ela, e o endpoint retorna 404. **Se a página Security posture tiver sido desativada para a sua organização,** o endpoint retorna 404 para a sua organização até que a página seja ativada. Mesmo uma chave da organização pai recebe esse 404. Para algumas organizações, o endpoint retorna 404 mesmo quando todas as três condições são atendidas e a página não foi desativada. ## Quem pode ver quem atestou Cada atividade de atestação causada por uma pessoa registra o ID de usuário dela, o endereço de e-mail dela naquele momento e o endereço IP e o user agent da requisição. Qualquer chave que abranja a organização e tenha `read:compliance_activities` ou `read:org_audit` pode lê-los, mesmo depois que a pessoa sai da organização ou que a conta dela é excluída. Excluir a organização não remove essas atividades do Activity Feed, que retém as atividades por 6 anos. As próprias chaves da organização deixam de funcionar quando ela é excluída. Qualquer chave com `read:compliance_org_data` e `read:compliance_user_data`, ou com `read:org_audit`, pode ler, em `attested_by` do endpoint, o ID de usuário da pessoa que atestou, quando o endpoint o retorna, mesmo para atestações feitas antes de você ter acesso. Esses valores são dados pessoais; suas cópias sobrevivem à participação da pessoa na organização. Antes de coletar esses dados, informe as pessoas que atestam. ## O que a Anthropic armazena quando alguém atesta A Anthropic armazena uma atestação por controle, incluindo o valor, quando ela foi feita, a data de término, se houver, e a conta da pessoa que atestou. Atestar novamente a substitui. A Anthropic continua armazenando uma atestação depois que a data de término dela chega ou que ela [deixa de estar em vigor automaticamente](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#what-ends-an-attestation), até que alguém a remova ou que a Anthropic a exclua ao excluir a organização. Se a conta da pessoa que atestou for excluída, a Anthropic continua armazenando a atestação, que deixa de indicar quem atestou. Quaisquer atividades do Activity Feed causadas por essa pessoa continuam identificando essa pessoa. Remover ou substituir a atestação não remove nada do Activity Feed (consulte [Quem pode ver quem atestou](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#who-can-see-who-attested)). [Chaves de criptografia gerenciadas pelo cliente (CMEK)](https://platform.claude.com/docs/pt-BR/manage-claude/cmek), a [retenção zero de dados (ZDR) para o Claude Code](https://code.claude.com/docs/en/zero-data-retention) e um [plano Enterprise pronto para HIPAA](https://support.claude.com/en/articles/13296973-hipaa-ready-enterprise-plans) não alteram o que a Anthropic armazena do controle, do valor, das datas e da conta de uma atestação. Nenhum dos três encurta o tempo durante o qual a Anthropic armazena esses campos. O CMEK não criptografa esses campos. A Anthropic armazena o comentário de uma atestação até que alguém remova a atestação ou que a Anthropic exclua o comentário ao excluir a organização. Atestar novamente pode substituir ou remover o comentário. Enquanto o Security posture não estiver disponível para uma organização, a Anthropic continua armazenando as atestações e os comentários dela, e ninguém pode vê-los nem removê-los na página Security posture. Um período de retenção de conversas personalizado não encurta o tempo durante o qual a Anthropic armazena a atestação ou o comentário. As atividades do Activity Feed nunca incluem o comentário (consulte [O que o feed não registra](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record)).