Hoe Rollout je data beschermt
Rollout werkt met gegevens van medewerkers van je klanten en heeft leestoegang tot hun Microsoft 365. Daarom is beveiliging niet één slot, maar een reeks lagen die elk op zichzelf werken. Deze pagina legt ze uit en laat zien hoe je ze aantoont.
Wie praat met wie
Scroll hierheen of druk op afspelen.
De lagen
| Laag | Wat het doet | Hoe je het ziet |
|---|---|---|
| Inloggen bij Microsoft | MFA en Conditional Access van je eigen tenant; alleen toegewezen engineers | Entra → Bedrijfstoepassingen |
| Row Level Security | Elke tabel; een organisatie ziet nooit data van een andere | Pagina Beveiliging: "tabellen zonder RLS: geen" |
| Rollen in de database | Beheerder, engineer, alleen lezen, afgedwongen in de database zelf | Team-pagina |
| Server-poort | Publieke functies alleen via jouw server | /api/ready: "gateway": "ok" |
| Sessies intrekken | Meteen, ook met een geldig token; ook sessies buiten de app | Beveiligingscentrum → Sessies |
| Alleen lezen bij klanten | Rollout kan niets wijzigen, tenzij je "oplossen met één klik" bewust aanzet | Verbindingstest: rechten per klant |
| Geen sleutels tot klanttenants | Federatie: Microsoft vertrouwt alleen jouw Vercel-project | Entra: alleen een federatieve referentie |
| Twee sloten per tenant | Allowlist buiten de app én klant van jouw organisatie | GRAPH_ALLOWED_TENANTS |
| Publieke links | 256 bits, alleen de hash opgeslagen, verloopdatum, intrekbaar | Per project in te trekken |
| Onvervalsbaar auditlog | Hash-keten: elke wijziging, aantoonbaar onaangetast | Pagina Beveiliging → keten controleren |
| Webbeveiliging | Strikte CSP met nonce, HSTS, geen framing, geen referrer | Response-headers |
Wat Rollout bewaart
Alleen werkgegevens: naam, UPN, e-mail, afdeling, functie en locatie, plus laptopserienummer en afspraak. Geen wachtwoorden, geen BSN, geen privégegevens. Antwoorden van Microsoft worden niet opgeslagen, alleen de uitkomst per controle (bijvoorbeeld "licentie: ok").
Aantonen
- Pagina Beveiliging
In Rollout: Beveiliging. Alles wat de server en de database over zichzelf weten, met groen, oranje of rood. Download het rapport (JSON) voor je dossier.
- Kop-hash bewaren
Op dezelfde pagina staat de kop-hash van het auditlog. Bewaar die regelmatig buiten Rollout, bijvoorbeeld in je wachtwoordkluis. Zo kun je later bewijzen dat er niets is aangepast, zelfs niet door iemand met toegang tot de database.
- Elke versie getest
Elke wijziging in de code draait door CI: unit-tests, SQL-tests op de beveiligingsregels, een scan op gelekte geheimen over de hele geschiedenis,
npm auditen een softwarelijst (SBOM). De commit staat op de pagina Beveiliging. - Onafhankelijke pentest
Laat eenmalig een onafhankelijke partij testen op een testinstallatie. Omdat alle installaties dezelfde code draaien, geldt de uitkomst voor allemaal.
Kwetsbaarheid melden
Denk je een kwetsbaarheid te hebben gevonden? Meld het niet in een openbaar issue, maar mail naar security@rollout365.com met een beschrijving, de stappen om het na te doen en eventueel bewijs. Je krijgt binnen twee werkdagen een reactie. Bekijk geen data van anderen, veroorzaak geen storing en maak niets openbaar voordat het is opgelost.