Alleen lezen, en niet meer rechten dan een check nodig heeft.
De doorlichting werkt alleen-lezen: het systeem observeert de configuratie en verandert er niets aan. We vragen precies de permissies die een check nodig heeft, niet meer, en lezen geen mailbox- of documentinhoud.
De doorlichting loopt via één multi-tenant Entra-applicatie met application-level read-only permissies; alleen de Copilot-keuring Plus voegt er een tweede aan toe. De partner genereert vanuit het portaal een koppel-link per klantomgeving; een beheerder van die omgeving keurt de applicatie eenmalig goed in het consentscherm van Microsoft zelf. De koppeling is op elk moment in te trekken, waarna het systeem geen scans meer uitvoert op die omgeving.
Alleen lezen
Geen enkele permissie van de scan-applicatie kan iets wijzigen. Er zit geen schrijfrecht in en geen recht om mail te versturen. Een doorlichting laat de omgeving precies zoals hij was.
Binnen de EU
De verwerking en opslag lopen binnen de Europese grens. De rapport-analyse draait op een model binnen de Microsoft-grens.
Bewaartermijn
Rapporten bewaren we zeven jaar in versleutelde opslag, zodat je ze als bewijsstuk richting een toezichthouder of auditor kunt gebruiken.
Welke permissies we vragen
Dit is de volledige lijst voor de doorlichting, gelijk aan wat het consentscherm van Microsoft toont. Er zit geen recht bij dat toegang geeft tot de inhoud van documenten of berichten. De organisatorische vragen, over beleid en over instellingen die Microsoft niet uitleesbaar aanbiedt, beantwoordt een mens in plaats van een zoekopdracht.
| Permissie | Waarvoor |
|---|---|
| Directory.Read.All | Gebruikers, groepen, rollen en domeinen lezen voor de identity-checks. |
| Policy.Read.All | Conditional-access- en autorisatiebeleid lezen. |
| Policy.Read.PermissionGrant | Lezen of gebruikers zelf apps toestemming mogen geven. |
| RoleManagement.Read.All | Toegekende beheerdersrollen lezen, inclusief tijdelijke activering via PIM. |
| Application.Read.All | Lezen welke applicaties rechten hebben in de omgeving. |
| Organization.Read.All | Tenantgegevens en licenties lezen, waaronder Copilot en Purview. |
| AuditLog.Read.All | Auditsignalen en de geregistreerde aanmeldmethoden lezen. |
| SecurityEvents.Read.All | De Microsoft Secure Score lezen en als baseline vastleggen. |
| SecurityAlert.Read.All | Beveiligingswaarschuwingen lezen, voor het signaal of datalek-meldingen worden opgevolgd. |
| SecurityIncident.Read.All | Beveiligingsincidenten lezen, voor de vraag of ze worden opgevolgd. |
| SensitivityLabels.Read.All | De vertrouwelijkheidslabels in de tenant lezen; niet welk label op welk document staat. |
| InformationProtectionPolicy.Read.All | Hetzelfde labelbeleid via de oudere route van Microsoft. |
| ProtectionScopes.Compute.All | Opvragen dát er beschermingsbeleid actief is. Er wordt geen inhoud aangeboden en geen inhoud teruggelezen. |
| SharePointTenantSettings.Read.All | De tenant-brede deelinstellingen van SharePoint lezen. |
Alleen bij de Copilot-keuring Plus: een tweede applicatie
De Copilot-keuring Plus laat per site zien wie er bij de inhoud kan. Daarvoor vraagt een tweede applicatie twee leesrechten, allebei Sites.Read.All: voor Microsoft Graph en voor SharePoint. Die rechten kunnen de inhoud van alle sites lezen. Het systeem gebruikt ze alleen om te lezen met wie de inhoud gedeeld is en wie er in de groepen zit, en opent geen documenten. Het bewaart per site de naam en de aantallen, en van ruim gedeelde bestanden de bestandsnaam; geen namen van personen.
De organisatie keurt die applicatie apart goed en kan hem apart intrekken; de koppeling voor de doorlichting blijft dan staan. Wie Plus niet afneemt, ziet deze applicatie nooit.
Alleen voor partners die klanten ophalen uit Microsoft: een applicatie in de eigen tenant
Wil een partner de GDAP-klanten in één keer opvoeren, dan geeft een beheerder van die partner toestemming voor een aparte applicatie, in de tenant van de partner zelf. Die applicatie vraagt twee leesrechten. Met DelegatedAdminRelationship.Read.All leest de applicatie de GDAP-relaties van de partner, en met CrossTenantInformation.ReadBasic.All zoekt die bij een tenant-id het standaarddomein op. De applicatie kan niets wijzigen en komt niet in de tenant van een klant. In het portaal verbreekt de partner de verbinding, en in Microsoft Entra verwijdert een beheerder de applicatie.
Wat een mens beantwoordt
Niet alles is uit een omgeving te lezen. Of er een vastgesteld informatiebeveiligingsbeleid ligt, of een incident-response-plan is beproefd, of hoe het standaard deellinktype staat ingesteld: dat zijn vragen, geen instellingen die Microsoft alleen-lezen aanbiedt. Twee-en-twintig van die vragen legt de partner voor aan de organisatie, met een link die niemand een account kost.
Het antwoord is aanwezig, niet aanwezig of niet van toepassing, met de naam van degene die het geeft, een verwijzing naar het stuk en ruimte voor een toelichting. Het geldt twaalf maanden en komt zo in het rapport te staan. Een openstaande vraag levert een bevinding "niet vastgesteld"; het systeem vult niets in wat het niet weet. Tot 9 september 2026 zocht het systeem hiervoor naar beleidsdocumenten op de omgeving van de klant. Die zoekopdracht is vervallen, en het recht dat ervoor nodig was is uit de applicatie voor de doorlichting verwijderd.