M365 Assessment

What the assessment reads

Last updated: 16 October 2026

When a Global Administrator deploys the CloudVision M365 Assessment app to a Microsoft 365 tenant, Microsoft asks to approve the permissions below. They are all read-only. The app never reads the content of e-mails, files, chats, meetings or calendars, and it cannot change anything in your tenant.

Permissions approved when the app is deployed

Permission	Type	What it is used for
Organization.Read.All	Read	Tenant name, verified domains, subscriptions and licences – to know whether you have Business Premium, E3 or E5.
Directory.Read.All	Read	Users, groups, guests and domain settings – e.g. inactive accounts and password expiry.
Policy.Read.All	Read	Conditional Access, Security Defaults and the authorisation policy (user consent, guest access).
Reports.Read.All	Read	The MFA registration report: who has registered an authentication method.
UserAuthenticationMethod.Read.All	Read	MFA registration details per user, used together with the report above.
AuditLog.Read.All	Read	Last sign-in date per account and whether sign-in logs are available.
RoleManagement.Read.Directory	Read	Who holds administrator roles such as Global Administrator.
RoleEligibilitySchedule.Read.Directory	Read	Privileged Identity Management: which admin roles are eligible instead of permanent.
IdentityRiskyUser.Read.All	Read	Users flagged as risky by Identity Protection.
SecurityEvents.Read.All	Read	Your Microsoft Secure Score.
SecurityAlert.Read.All	Read	Open Microsoft Defender alerts and their severity.
AttackSimulation.Read.All	Read	Phishing simulation campaigns run in the last 12 months.
DeviceManagementConfiguration.Read.All	Read	Intune compliance policies and compliance settings.
DeviceManagementManagedDevices.Read.All	Read	Managed devices: compliance state and disk encryption (device names appear as evidence).
DeviceManagementApps.Read.All	Read	App protection policies for mobile devices (for the device checks).
InformationProtectionPolicy.Read.All	Read	Which sensitivity labels exist and are published.
SensitivityLabels.Read.All	Read	Sensitivity labels defined in Purview (the app-only way to read them).
RecordsManagement.Read.All	Read	Which retention labels are defined.
SharePointTenantSettings.Read.All	Read	SharePoint and OneDrive sharing settings.
Application.Read.All	Read	Enterprise applications and the permissions granted to them (third-party and AI apps), and the assessment app itself.
User.Read	Sign-in	Only when you sign in with Microsoft: your name and e-mail address.
Exchange.ManageAsApp	Optional	Only if you enable the optional PowerShell checks: read Exchange Online and Purview settings (DLP, audit log, forwarding, Safe Links). This also assigns the read-only Global Reader role to the app.

Asked only at the moment you need them

These permissions are not part of the deployment. Microsoft asks an administrator for them only when that person clicks the button, and they are used for that one action.

Permission	When
Application.ReadWrite.All One action	When you click Remove app: an administrator signs in so the app can delete itself from your tenant.
RoleManagement.ReadWrite.Directory One action	When you click Enable PowerShell checks: an administrator signs in so the read-only Global Reader role can be assigned to the app.

Removing the app

Use Remove app on the tenant's dashboard, or delete the enterprise application M365 Compliance Assessment in the Entra admin centre. Either way, all of the app's access ends immediately; the portal then deletes the stored assessment data of that tenant.

More on how we handle data: privacy policy. Questions: info@cloudvision.be.

M365-assessment

Wat het assessment leest

Laatst bijgewerkt: 16 oktober 2026

Wanneer een globale beheerder de app CloudVision M365 Assessment uitrolt naar een Microsoft 365-tenant, vraagt Microsoft om de rechten hieronder goed te keuren. Het zijn allemaal leesrechten. De app leest nooit de inhoud van e-mails, bestanden, chats, vergaderingen of agenda's, en kan niets wijzigen in uw tenant.

Rechten die u goedkeurt bij het uitrollen

Recht	Soort	Waarvoor het dient
Organization.Read.All	Lezen	Naam, geverifieerde domeinen, abonnementen en licenties van de tenant – om te weten of u Business Premium, E3 of E5 hebt.
Directory.Read.All	Lezen	Gebruikers, groepen, gasten en domeininstellingen – bv. inactieve accounts en het verlopen van wachtwoorden.
Policy.Read.All	Lezen	Conditional Access, Security Defaults en het autorisatiebeleid (toestemming door gebruikers, gasttoegang).
Reports.Read.All	Lezen	Het rapport over MFA-registratie: wie een verificatiemethode registreerde.
UserAuthenticationMethod.Read.All	Lezen	MFA-registratie per gebruiker, samen met het rapport hierboven.
AuditLog.Read.All	Lezen	Datum van laatste aanmelding per account en of aanmeldlogs beschikbaar zijn.
RoleManagement.Read.Directory	Lezen	Wie beheerdersrollen zoals Global Administrator heeft.
RoleEligibilitySchedule.Read.Directory	Lezen	Privileged Identity Management: welke beheerdersrollen eligible zijn in plaats van permanent.
IdentityRiskyUser.Read.All	Lezen	Gebruikers die Identity Protection als risicovol markeert.
SecurityEvents.Read.All	Lezen	Uw Microsoft Secure Score.
SecurityAlert.Read.All	Lezen	Openstaande Microsoft Defender-waarschuwingen en hun ernst.
AttackSimulation.Read.All	Lezen	Phishingsimulaties van de afgelopen 12 maanden.
DeviceManagementConfiguration.Read.All	Lezen	Compliancebeleid en compliance-instellingen in Intune.
DeviceManagementManagedDevices.Read.All	Lezen	Beheerde toestellen: compliancestatus en schijfversleuteling (toestelnamen verschijnen als bewijs).
DeviceManagementApps.Read.All	Lezen	App protection policies voor mobiele toestellen (voor de controles op toestellen).
InformationProtectionPolicy.Read.All	Lezen	Welke gevoeligheidslabels bestaan en gepubliceerd zijn.
SensitivityLabels.Read.All	Lezen	Gevoeligheidslabels die in Purview gedefinieerd zijn (de manier om ze als app te lezen).
RecordsManagement.Read.All	Lezen	Welke bewaarlabels gedefinieerd zijn.
SharePointTenantSettings.Read.All	Lezen	Instellingen voor delen in SharePoint en OneDrive.
Application.Read.All	Lezen	Enterprise applications en de rechten die ze kregen (apps van derden en AI-apps), en de assessment-app zelf.
User.Read	Aanmelden	Enkel wanneer u aanmeldt met Microsoft: uw naam en e-mailadres.
Exchange.ManageAsApp	Optioneel	Enkel als u de optionele PowerShell-controles inschakelt: instellingen van Exchange Online en Purview lezen (DLP, auditlog, doorsturen, Safe Links). Daarbij krijgt de app ook de alleen-lezen rol Global Reader.

Enkel gevraagd op het moment dat u ze nodig hebt

Deze rechten maken geen deel uit van het uitrollen. Microsoft vraagt ze aan een beheerder pas wanneer die op de knop klikt, en ze dienen enkel voor die ene actie.

Recht	Wanneer
Application.ReadWrite.All Eén actie	Wanneer u op App verwijderen klikt: een beheerder meldt zich aan zodat de app zichzelf uit uw tenant kan verwijderen.
RoleManagement.ReadWrite.Directory Eén actie	Wanneer u op PowerShell-controles inschakelen klikt: een beheerder meldt zich aan zodat de alleen-lezen rol Global Reader aan de app kan worden toegekend.

De app verwijderen

Gebruik App verwijderen op het dashboard van de tenant, of verwijder de enterprise application M365 Compliance Assessment in het Entra-beheercentrum. In beide gevallen stopt alle toegang van de app onmiddellijk; het portaal wist daarna de bewaarde assessmentgegevens van die tenant.

Meer over hoe we met gegevens omgaan: privacyverklaring. Vragen: info@cloudvision.be.

Évaluation M365

Ce que lit l'évaluation

Dernière mise à jour : 16 octobre 2026

Lorsqu'un administrateur général déploie l'application CloudVision M365 Assessment dans un tenant Microsoft 365, Microsoft demande d'approuver les autorisations ci-dessous. Elles sont toutes en lecture seule. L'application ne lit jamais le contenu des e-mails, fichiers, conversations, réunions ou calendriers, et ne peut rien modifier dans votre tenant.

Autorisations approuvées lors du déploiement

Autorisation	Type	Utilisation
Organization.Read.All	Lecture	Nom, domaines vérifiés, abonnements et licences du tenant – pour savoir si vous avez Business Premium, E3 ou E5.
Directory.Read.All	Lecture	Utilisateurs, groupes, invités et paramètres de domaine – par ex. comptes inactifs et expiration des mots de passe.
Policy.Read.All	Lecture	Conditional Access, Security Defaults et la stratégie d'autorisation (consentement des utilisateurs, accès invité).
Reports.Read.All	Lecture	Le rapport d'enregistrement MFA : qui a enregistré une méthode d'authentification.
UserAuthenticationMethod.Read.All	Lecture	Détails de l'enregistrement MFA par utilisateur, avec le rapport ci-dessus.
AuditLog.Read.All	Lecture	Date de dernière connexion par compte et disponibilité des journaux de connexion.
RoleManagement.Read.Directory	Lecture	Qui détient des rôles d'administrateur comme Global Administrator.
RoleEligibilitySchedule.Read.Directory	Lecture	Privileged Identity Management : quels rôles d'administrateur sont éligibles plutôt que permanents.
IdentityRiskyUser.Read.All	Lecture	Utilisateurs signalés comme à risque par Identity Protection.
SecurityEvents.Read.All	Lecture	Votre Microsoft Secure Score.
SecurityAlert.Read.All	Lecture	Alertes Microsoft Defender ouvertes et leur gravité.
AttackSimulation.Read.All	Lecture	Campagnes de simulation d'hameçonnage des 12 derniers mois.
DeviceManagementConfiguration.Read.All	Lecture	Stratégies et paramètres de conformité Intune.
DeviceManagementManagedDevices.Read.All	Lecture	Appareils gérés : état de conformité et chiffrement du disque (les noms d'appareils figurent comme preuves).
DeviceManagementApps.Read.All	Lecture	Stratégies de protection des applications mobiles (pour les contrôles des appareils).
InformationProtectionPolicy.Read.All	Lecture	Quelles étiquettes de confidentialité existent et sont publiées.
SensitivityLabels.Read.All	Lecture	Étiquettes de confidentialité définies dans Purview (la méthode de lecture pour une application).
RecordsManagement.Read.All	Lecture	Quelles étiquettes de rétention sont définies.
SharePointTenantSettings.Read.All	Lecture	Paramètres de partage SharePoint et OneDrive.
Application.Read.All	Lecture	Applications d'entreprise et autorisations qui leur sont accordées (applications tierces et d'IA), ainsi que l'application d'évaluation elle-même.
User.Read	Connexion	Uniquement lorsque vous vous connectez avec Microsoft : votre nom et votre adresse e-mail.
Exchange.ManageAsApp	Facultatif	Uniquement si vous activez les contrôles PowerShell facultatifs : lire les paramètres d'Exchange Online et de Purview (DLP, journal d'audit, transfert, Safe Links). L'application reçoit alors aussi le rôle en lecture seule Global Reader.

Demandées uniquement au moment où vous en avez besoin

Ces autorisations ne font pas partie du déploiement. Microsoft les demande à un administrateur uniquement lorsqu'il clique sur le bouton, et elles ne servent qu'à cette action.

Autorisation	Quand
Application.ReadWrite.All Une action	Lorsque vous cliquez sur Supprimer l'app : un administrateur se connecte pour que l'application puisse se supprimer de votre tenant.
RoleManagement.ReadWrite.Directory Une action	Lorsque vous cliquez sur Activer les contrôles PowerShell : un administrateur se connecte pour attribuer le rôle en lecture seule Global Reader à l'application.

Supprimer l'application

Utilisez Supprimer l'app sur le tableau de bord du tenant, ou supprimez l'application d'entreprise M365 Compliance Assessment dans le centre d'administration Entra. Dans les deux cas, tout accès de l'application cesse immédiatement ; le portail efface ensuite les données d'évaluation conservées pour ce tenant.

Plus d'informations sur le traitement des données : politique de confidentialité. Questions : info@cloudvision.be.