Microsoft Intune: apparaatbeheer voor het MKB

Zolang medewerkers alleen op kantoor werkten, stond de beveiliging van apparaten gelijk aan de beveiliging van het pand. Met thuiswerken, eigen telefoons en laptops die overal mee naartoe gaan, is dat voorbij. Een toestel dat bij je bedrijfsdata kan, moet je kunnen beheren, ongeacht waar het zich bevindt.

Microsoft Intune is de dienst die dat regelt. Het is apparaatbeheer, ook wel MDM genoemd, voor laptops, telefoons en tablets. Dit artikel legt uit wat Intune doet, wat het kost en hoe je het stap voor stap invoert.

Wat Intune doet

Intune is de centrale console voor elk toestel dat bij je bedrijfsgegevens komt. In plaats van elke laptop apart in te stellen, definieer je een keer een beleid en rolt Intune dat uit naar alle toestellen.

Die laatste functie is belangrijk voor een BYOD-beleid, waarbij medewerkers hun eigen telefoon gebruiken. Intune kan dan alleen de werk-app en werkdata beheren, en bij uitdiensttreding alleen dat deel wissen, zonder aan de privefoto's van de medewerker te komen.

Wat Intune kost

Intune Plan 1 is los te koop, maar zit ook in Microsoft 365 Business Premium en in de grotere enterprise-pakketten. Voor de meeste MKB-bedrijven is Business Premium de logische route.

De prijzen zijn lijstprijzen per gebruiker per maand, ex btw. Let op een belangrijke afhankelijkheid: voor functies als Conditional Access en het automatisch koppelen van toestellen heb je Entra ID P1 nodig. In Business Premium zit dat al, dus daar speelt het niet. Koop je Intune los, reken die 6 euro voor Entra ID P1 er dan bij op.

Voor gedeelde toestellen die niet aan een persoon hangen, zoals een tablet in de werkplaats of een kioskscherm, bestaat de apparaatlicentie van circa 3 tot 3,50 euro per toestel per maand. Die mist wel onderdelen als Conditional Access, dus gebruik hem alleen waar dat past.

Beheerde versus onbeheerde toestellen

De winst van Intune zit in het verschil tussen weten en niet weten wat er met je data gebeurt.

Met Conditional Access maak je de koppeling sluitend: je kunt eisen dat alleen beheerde, conforme toestellen bij gevoelige gegevens komen. Een onbeheerde privelaptop krijgt dan geen toegang tot de bestanden, ook niet met de juiste inloggegevens.

Stap voor stap invoeren

Een eerste Intune-uitrol vraagt voorbereiding. Onderschat de doorlooptijd niet: het is geen knop omzetten, maar beleid ontwerpen en toestellen koppelen.

1. Bepaal de scope. Begin met de bedrijfslaptops, daarna telefoons, en als laatste eventuele eigen toestellen onder BYOD.
2. Ontwerp het basisbeleid. Schijfversleuteling aan, schermvergrendeling na enkele minuten, automatische updates en een minimale versie van het besturingssysteem.
3. Stel de inschrijving in. Voor nieuwe Windows-laptops gebruik je automatische inschrijving, zodat een toestel uit de doos meteen goed staat.
4. Test op een kleine groep. Koppel eerst 2 tot 3 toestellen en controleer of alles werkt voordat je de hele organisatie doet.
5. Rol gefaseerd uit. Voeg toestellen in groepen toe. Reken op 15 tot 30 minuten per toestel, minder bij automatische inschrijving.
6. Koppel aan Conditional Access. Zet de eis dat alleen conforme toestellen bij gevoelige apps komen, nadat de uitrol is afgerond.

Een eerste inrichting voor een klein bedrijf kost al snel 8 tot 16 uur werk, plus de doorlooptijd om alle toestellen te koppelen. Laat je het door een partner doen, vraag dan een vaste prijs voor de inrichting en een duidelijke overdracht.

Praktijkvoorbeeld

Een installatiebedrijf met 35 medewerkers en 40 laptops en telefoons voerde Intune in via Business Premium. De bedrijfslaptops kregen automatische schijfversleuteling en updates, de telefoons een gescheiden werkprofiel. Toen een monteur 3 maanden later zijn telefoon verloor, was de bedrijfsdata binnen enkele minuten op afstand gewist, zonder dat de privegegevens werden geraakt. De inrichting had circa 14 uur gekost, verspreid over 2 weken.

Waar Intune ophoudt

Intune beheert toestellen, maar beschermt niet tegen alles. Het herkent geen aanval in uitvoering, daarvoor heb je Defender for Business nodig. En het regelt geen identiteit, dat doet Entra ID met MFA. De drie vullen elkaar aan: identiteit, apparaat en endpoint.

Samen vormen ze de basis van zero trust in Microsoft 365, waarin alleen vertrouwde gebruikers vanaf vertrouwde toestellen bij je gegevens komen. Wil je het bredere beveiligingsbeeld, lees dan Microsoft 365 beveiligen.

Intune versus geen apparaatbeheer

Intune Plan 1 zit in meerdere pakketten, dus vaak betaal je niets extra.

Een verloren toestel zonder beheer kan een datalek van tienduizenden euro's worden. Met Intune is het binnen enkele minuten gewist. De licentie kost circa 8 euro per gebruiker per maand los, of 0 euro extra binnen Business Premium.

Wat dit voor jouw bedrijf betekent

De praktische afweging is meestal niet of je Intune nodig hebt, maar of je het al hebt zonder het te benutten. Zit je op Microsoft 365 Business Premium, dan betaal je voor Intune Plan 1 binnen die circa 22 euro per gebruiker per maand, of je het nu gebruikt of niet. De stap is dan niet kopen maar inrichten.

Reken voor een eerste uitrol op 8 tot 16 uur werk, verspreid over circa 2 weken doorlooptijd. Begin met de bedrijfslaptops, daarna de telefoons, en pas als laatste eventuele eigen toestellen. Met automatische inschrijving staat een nieuwe laptop binnen enkele minuten goed, in plaats van de 30 minuten handwerk per toestel die het anders kost.

De opbrengst zit in risicovermindering die je pas merkt als het misgaat. Een verloren toestel zonder beheer kan een datalek van tienduizenden euro's worden; met Intune is de bedrijfsdata binnen enkele minuten op afstand gewist. Tel daarbij op dat je updates en versleuteling niet langer aan de goede wil van medewerkers overlaat, maar centraal afdwingt.

Behandel het als onderhoud, niet als project: plan elk half jaar circa 2 uur in om het beleid en de toestellenlijst te controleren. Over 3 jaar bekeken zijn de kosten verwaarloosbaar tegenover 1 voorkomen incident, en houd je grip op elk toestel dat bij je gegevens kan. Combineer het met Defender for Business en Conditional Access voor een sluitend geheel.

Houd bij de uitrol rekening met de medewerkers zelf. Leg vooraf uit wat er verandert aan hun toestel en waarom, zeker bij eigen telefoons onder een BYOD-regeling. Een korte instructie en een aankondiging een week van tevoren voorkomen verwarring en helpdeskvragen. Apparaatbeheer dat goed is uitgelegd, krijgt veel meer draagvlak dan beheer dat zonder uitleg wordt opgelegd.

Veelgestelde vragen

Wat is Microsoft Intune in gewone taal?

Een centrale dienst om alle laptops, telefoons en tablets van je bedrijf te beheren: instellingen afdwingen, apps uitrollen en bij verlies de data op afstand wissen.

Wat kost Intune?

Plan 1 kost los circa 8 euro per gebruiker per maand. Het zit ook in Microsoft 365 Business Premium (circa 22 euro per gebruiker per maand in totaal), samen met Defender en Entra ID P1.

Heb ik nog iets anders nodig naast Intune?

Voor Conditional Access en automatische koppeling heb je Entra ID P1 nodig. In Business Premium zit dat al inbegrepen.

Kan ik de privetelefoon van een medewerker beheren zonder bij privedata te komen?

Ja. Met een werkprofiel beheert Intune alleen de werk-app en werkdata. Bij uitdiensttreding wis je alleen dat deel, niet de privegegevens.

Hoe lang duurt het invoeren?

Een eerste inrichting voor een klein bedrijf kost al snel 8 tot 16 uur, plus de doorlooptijd om de toestellen te koppelen.