Machtigingen vereist voor Human Security

Stoïk Human Security beschermt uw mensen tegen phishing, fraude en accountcompromittering. Om echte bedreigingen te stoppen en niet alleen te markeren, heeft Stoïk een gedefinieerde set machtigingen nodig in uw Microsoft 365- of Google Workspace-omgeving.

Machtigingslijsten kunnen intimiderend overkomen, dus deze pagina legt elke toestemming uit die we vragen en precies wat die doet.

Onze principes

• Minimale privileges: we vragen alleen wat een functie nodig heeft.

• Doelgebonden: elke toestemming koppelt aan een specifieke actie, hieronder vermeld.

• Eerst lezen, dan beperkt handelen: de meeste toegang is alleen-lezen; schrijven is beperkt tot beschermende acties.

• Uw gegevens blijven van u: nooit verkocht, nooit gebruikt buiten de service die u hebt ingeschakeld.

• Altijd herroepbaar: trek toegang in wanneer u wilt via uw beheerdersconsole.

Hoe toegang is gestructureerd

Human Security is opgebouwd uit drie toegangsblokken. Elke functie gebruikt alleen de blokken die nodig zijn, dus u verleent alleen wat u inschakelt.

De bouwstenen

1. Toegang tot teamdirectory Alleen-lezen toegang tot uw medewerkerslijst en groepen, zodat Stoïk weet wie beschermd, gesimuleerd en getraind moet worden. Geen mailboxtoegang.

2. Mailboxbescherming Beveiligde mailboxtoegang om phishing-simulaties af te leveren, gemelde e-mails te beoordelen en in te grijpen bij bevestigde bedreigingen.

3. De knop Rapporteren Een lichtgewicht add-in die medewerkers installeren om verdachte e-mails met één klik te markeren. Geen mailboxtoegang.

Wat elke functie vereist

Functie	Toegang tot teamdirectory	Mailboxbescherming	De knop Rapporteren
Simulatie	✓	✓	✗
Leren	✓	✗	✗
Rapporteren	✓	✓	✓

U verleent alleen wat u gebruikt. Leren vereist alleen-lezen directorytoegang en verder niets. Alleen Rapporteren vereist ook de add-in die medewerkers installeren.

1. Toegang tot teamdirectory

Alleen-lezen toegang tot uw medewerkerslijst en groepen, zodat Stoïk weet wie beschermd, gesimuleerd en getraind moet worden. Geen mailboxtoegang.

Microsoft 365

Toestemming	Waarvoor het is
User.Read.All	Gebruikers lezen om uw medewerkerslijst (namen, e-mails, telefoonnummers) op te bouwen en bij te werken.
Group.Read.All	Groepen lezen zodat u medewerkers per team kunt targeten en organiseren.
UserAuthenticationMethod.Read.All	Lees de MFA-methoden van medewerkers.

Google Workspace

Toestemming	Waarvoor het is
admin.directory.user.readonly	Lees directorygebruikers om uw medewerkerslijst op te bouwen en bij te werken.
admin.directory.group.readonly	Groepen lezen zodat u medewerkers per team kunt targeten en organiseren.
userinfo.email	Identificeer de beheerder die toegang verleent.

2. Mailboxbescherming

Beveiligde mailboxtoegang om phishing-simulaties af te leveren, gemelde e-mails te beoordelen en in te grijpen bij bevestigde bedreigingen.

Deze vormen de basis voor drie Human Security-mogelijkheden: phishing-simulaties afleveren, gerapporteerde e-mails lezen en analyseren, en ingrijpen bij bevestigde bedreigingen. U verleent ze wanneer u uw werkruimte koppelt voor Simulatie of Rapporteren.

Microsoft 365

Toestemming	Waarvoor het is
User.Read.All	Gebruikers vinden en e-mailadressen aan mailboxen koppelen.
Mail.ReadWrite	Phishing-simulaties afleveren (invoegen, lezen, opruimen), gerapporteerde e-mails lezen en binnenkort ingrijpen bij een bevestigde bedreiging: een waarschuwingsbanner toevoegen of verwijderen, of de e-mail naar en uit een quarantainefolder verplaatsen.
SecurityAnalyzedMessage.Read.All	Ophalingsdetails voor een gerapporteerde e-mail ophalen, zodat we uw IT-manager kunnen vertellen of het een echte bedreiging is (phishing of fraude).
AuditLog.Read.All · AuditLogsQuery.Read.All · ActivityFeed.Read	Kwaadaardige activiteit detecteren en bevestigen of een gerapporteerde e-mail een echte bedreiging was of tot een compromittering heeft geleid.
MailboxSettings.Read	Kwaadaardige mailboxregels detecteren, een veelvoorkomend teken dat een e-mail heeft geleid tot accountovername.
UserAuthenticationMethod.Read.All	Manipulatie van de MFA-methoden van een gebruiker detecteren en de MFA-status weergeven.
Policy.Read.ConditionalAccess	De beveiligingshouding van het account meewegen in de bedreigingsbeoordeling.
Application.Read.All	Kwaadaardige apps van derden detecteren die aan een account zijn gekoppeld.
Reports.Read.All	E-mailvolume en -patronen begrijpen, gebruikt om de beste doelwitten voor betalingsfraudesimulaties voor te stellen (medewerkers die de meeste facturen ontvangen zijn de meest realistische doelwitten).

Google Workspace

Toestemming	Waarvoor het is
gmail.insert	Phishing-simulatie-e-mails in mailboxen invoegen.
gmail.metadata	Berichtkoppen en -id's lezen om simulaties te verifiëren en te volgen.
gmail.modify	E-mails voor het verifiëren van de simulatie-opzet naar de prullenbak verplaatsen en, binnenkort, ingrijpen bij een bevestigde bedreiging (waarschuwingsbanner, quarantaine).
gmail.readonly	De inhoud van gerapporteerde e-mails lezen voor beoordeling en de echte factuur- of betalingsmails die medewerkers ontvangen analyseren om realistische betalingsfraudesimulaties op te stellen en de beste doelwitten te kiezen.
gmail.settings.basic	Allowlisting configureren zodat simulaties de inbox betrouwbaar bereiken.
admin.directory.user.readonly	Ontvangers koppelen aan directorygebruikers.
admin.reports.audit.readonly	Verdachte activiteit detecteren om te bevestigen of een gerapporteerde e-mail een echte bedreiging is, en identificeren wie de meeste facturen ontvangt voor doelgerichte betalingsfraude.
apps.alerts	Gerelateerde beveiligingswaarschuwingen van Google Workspace tonen bij het analyseren van een bedreiging.
admin.directory.customer.readonly	Organisatiedetails lezen die nodig zijn om bescherming te configureren.
gmail.settings.sharing	Mailboxgedelegeerden lezen om toegang te herkennen die door een gecompromitteerd account is verleend.
admin.directory.device.mobile.readonly	De mobiele apparaten lezen die op een account zijn geregistreerd, om het apparaat van een aanvaller te herkennen.

Hoe gerapporteerde e-mails een duidelijk oordeel krijgen. Wanneer een medewerker een e-mail rapporteert, analyseert Stoïk het bericht en de omliggende account- en tenant-signalen om te bepalen of het echte phishing of fraude is, zodat uw IT-manager een betrouwbaar waar / vals positief oordeel krijgt en er rechtstreeks op kan handelen.

3. De knop Rapporteren

Een lichtgewicht add-in die medewerkers installeren om verdachte e-mails met één klik te markeren. Geen mailboxtoegang.

Dit is wat uw medewerkers in hun mailbox installeren. Het is bewust lichtgewicht: het geeft Stoïk geen API-toegang tot uw mailboxen.

Outlook-add-in

Toestemming	Waarvoor het is
ReadWriteMailbox	Toegang tot de gerapporteerde e-mail en, alleen als de gebruiker dat kiest, verplaats deze naar Ongewenst of Verwijderde items.
Report.Phishing	Meld u aan bij Stoïk's rapportage-API om het rapport te verzenden.

Gmail-extensie (Chrome / Edge)

Toestemming	Waarvoor het is
identiteit	Opent het aanmeldscherm van Google om te bevestigen welke gebruiker rapporteert.
opslag	Cachet tijdelijk het aanmeldtoken en onthoudt het account-e-mailadres om herhaalde aanmeldingsprompts te vermijden.
mail.google.com (sitetoegang)	Voegt de Rapporteren aan Stoïk knop toe in Gmail, identificeert het geopende bericht en account, en gebruikt de eigen bedieningselementen van Gmail voor de resulterende actie. Dit is toegang tot de browserpagina, geen Gmail API OAuth-scope.
accounts.google.com (sitetoegang)	Ondersteunt Google-aanmelding.
*.phishing.cyber.stoik.io (sitetoegang)	Verzendt het rapport naar Stoïk's API.
Aanmeldscopes: openid, email	Meldt de gebruiker aan en identificeert hem via e-mail.

De Gmail-extensie vraagt geen mailbox-OAuth-scope. Aanmelden is beperkt tot uw identiteit (openid + email). Sitetoegang stelt de extensie in staat te handelen op de Gmail-pagina die u open hebt; het is geen permanente server-side toegang tot uw inbox.

Veelgestelde vragen

Lezen jullie al onze e-mails? Nee. We leveren simulatielmails af en lezen de specifieke berichten die uw medewerkers rapporteren. Eventuele continue analyse draait alleen om bedreigingen te detecteren, en alleen voor de mogelijkheden die u inschakelt.

Kunnen we slechts sommige mogelijkheden verlenen? Ja. Toestemmingen zijn gegroepeerd per mogelijkheid. Als u een mogelijkheid niet inschakelt, verleent u de bijbehorende toestemmingen niet.

Kunnen we toegang later intrekken? Ja, op elk moment, via uw Microsoft 365- of Google Workspace-beheerdersconsole. Toegang intrekken stopt de bijbehorende mogelijkheid.

Waarom staan sommige toestemmingen schrijven toe, en niet alleen lezen? Het beschermen van uw team vereist ingrijpen bij bedreigingen, niet alleen ze zien: een simulatie afleveren, een gerapporteerde e-mail verplaatsen of een bevestigde aanval in quarantaine plaatsen. Schrijftoegang is beperkt tot deze acties.