Intune uitgelegd voor het mkb: zo schrijf je laptops in, dwing je versleuteling en updates af en houd je bedrijfsdata veilig, ook op telefoons.
Microsoft Intune is het onderdeel van Microsoft 365 waarmee je de laptops en telefoons van je team op afstand beheert. Je dwingt af dat apparaten versleuteld zijn, updates krijgen en een pincode hebben, je zet apps klaar en je kunt een gestolen laptop op afstand wissen. Intune zit standaard in Microsoft 365 Business Premium.
Voor een klein bedrijf zonder IT-afdeling is dat vaak het verschil tussen ‘we hopen dat het goed staat’ en ‘we weten dat het goed staat’. Hieronder lees je hoe je het in grote lijnen inricht. De exacte menu's in het beheercentrum veranderen regelmatig, dus gebruik de stappen als route en kijk bij twijfel in de documentatie van Microsoft.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Intune werkt per gebruiker. Ga in het Microsoft 365-beheercentrum naar Gebruikers › Actieve gebruikers en controleer dat iedereen met een bedrijfslaptop een licentie met Intune heeft, zoals Business Premium. Zonder licentie kan het apparaat niet worden ingeschreven.
Open het Intune-beheercentrum (intune.microsoft.com). Ga naar Apparaten › Inschrijving en zet voor Windows de automatische inschrijving (MDM-gebruikersbereik) aan voor alle of een groep gebruikers. Dan wordt een laptop vanzelf beheerd zodra iemand er met een werkaccount aan koppelt.
Op een bestaande Windows-laptop gaat de gebruiker naar Instellingen › Accounts › Toegang tot werk of school › Verbinden en logt in met het werkaccount. Voor nieuwe laptops kun je Windows Autopilot gebruiken: de leverancier of je IT-partner registreert het apparaat vooraf, zodat de medewerker hem uitpakt, inlogt en een volledig ingerichte laptop krijgt.
Begin met een paar regels die het grootste risico wegnemen: schijfversleuteling met BitLocker (via Eindpuntbeveiliging › Schijfversleuteling), een update-beleid voor Windows, een verplicht wachtwoord of Windows Hello en een ingeschakelde firewall en virusbescherming. Leg ze vast in een nalevingsbeleid, zodat je ziet welk apparaat niet voldoet.
Onder Apps voeg je de Microsoft 365-apps en andere zakelijke programma's toe en wijs je ze toe aan een groep. Nieuwe medewerkers krijgen dan automatisch de juiste software.
Voor telefoons die van medewerkers zelf zijn, kies je vaak voor app-beveiligingsbeleid in plaats van het hele toestel te beheren. Je beschermt dan alleen de werk-apps zoals Outlook en Teams: bijvoorbeeld geen kopiëren naar privé-apps en een pincode op de app. Bij vertrek wis je alleen de werkgegevens.
Met voorwaardelijke toegang (in Microsoft Entra) kun je instellen dat alleen ingeschreven, gezonde apparaten bij de bedrijfsmail en bestanden mogen. Test dit eerst met een kleine groep, zodat niemand onverwacht wordt buitengesloten.
BitLocker-herstelsleutels worden bij Intune-beheer in het account van het apparaat bewaard. Controleer in Apparaten › Alle apparaten regelmatig welke laptops niet voldoen of lang niet zijn ingecheckt.
Let op: Schrijf je laptops in zonder plan, dan kan een te streng beleid mensen buitensluiten. Begin met rapporteren, test met één of twee apparaten en zet daarna pas regels op ‘afdwingen’.
Je hoeft niet alles in één keer te doen. Dit is een volgorde die in het mkb goed werkt:
Leg vast wie beheerder is en hoe je een medewerker uit dienst afmeldt: account blokkeren, apparaat terugnemen of op afstand wissen, en licentie vrijgeven. Juist dat laatste stuk vergeten veel bedrijven, waardoor oud-medewerkers nog maanden toegang houden via een telefoon.
Gebruik je naast Windows ook Macs of iPads, plan die dan als aparte stap: daar heb je eerst de koppeling met Apple nodig.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Nee. Intune zit in Microsoft 365 Business Premium (en in sommige grotere abonnementen) of als losse licentie. Zie Business Basic, Standard of Premium.
Ja. Voor Apple-apparaten heb je een Apple-pushcertificaat nodig in Intune. Voor bedrijfsiPhones gebruik je bij voorkeur Apple Business Manager, zodat ze automatisch worden ingeschreven.
Nee. Bij een ingeschreven privételefoon of app-beveiliging ziet de beheerder geen privéfoto's, -berichten of browsergeschiedenis. Wel apparaatgegevens zoals model en besturingssysteemversie.
Is de laptop versleuteld en ingeschreven, dan kun je hem in Intune op afstand wissen of vergrendelen. De data op de schijf is zonder herstelsleutel niet leesbaar.
Ja. We richten inschrijving, basisbeleid, apps en app-beveiliging in, testen met een paar apparaten en rollen het daarna uit naar het hele team.
Hulp nodig van een mens? Microsoft 365-hulp · IT-beveiliging in jouw plaats · IT-consultancy · Alle oplossingen
Website: IT Live