Apparaatnaleving met Intune in Microsoft 365: wanneer het MKB toegang afdwingt

Wat apparaatnaleving in Intune wél is

Microsoft Intune is het apparaatbeheer in Microsoft 365 waarmee u Windows-, macOS-, iOS- en Android-apparaten kunt inschrijven en beleid opleggen. Compliancebeleid zegt: “dit apparaat voldoet” of “voldoet niet” aan uw minimale eisen. Dat vinkje alleen doet weinig tot u het koppelt aan Conditional Access: dan weigert Microsoft 365 de toegang vanaf een niet-compliant apparaat, ook als het wachtwoord en meervoudige authenticatie kloppen.

Apparaatnaleving is dus geen antivirus-vervangende magie en geen vervanging van meervoudige authenticatie. Het is een extra poort: de identiteit mag binnen, maar alleen vanaf een apparaat dat u vertrouwt omdat het aan uw basis voldoet.

Wanneer het MKB dit serieus moet nemen

Drie signalen komen in de praktijk steeds terug. U geeft bedrijfslaptops of bedrijfstelefoons uit — of u betaalt de telefoon van medewerkers en verwacht Outlook en Teams daarop. Gevoelige data (klanten, personeel, contracten) leeft in Exchange, SharePoint of OneDrive. Of u merkt dat privételefoons en oude thuis-pc’s zonder updates gewoon bij dezelfde mailbox komen als de kantoorlaptop. Dan is “iedereen met MFA” nog te open: een gestolen of onversleuteld apparaat blijft een gat.

Nog niet elk microbedrijf met drie freelancers op eigen MacBooks hoeft morgen “require compliant device” voor de hele tenant. Wél moet u bewust kiezen: welke accounts mogen vanaf elk apparaat, en welke alleen vanaf beheerde, compliant apparaten? Directeuren en finance vaak strenger; gasten en lichte rollen soms soepeler — zie ook gastaccounts.

Wat u wél eerst eist — en wat u nog niet overengineert

Houd de eerste compliance-set kort genoeg om dit kwartaal echt live te krijgen:

• schijfversleuteling aan (BitLocker op Windows, FileVault op Mac) — zonder dat is een gestolen laptop open OneDrive;
• schermvergrendeling met pincode, wachtwoord of biometrie, met een redelijke time-out;
• besturingssysteem niet hopeloos verouderd — gekoppeld aan uw Windows-updates en patchbeheer;
• apparaat ingeschreven in Intune (company-owned of enrolled bring-your-own-device met duidelijke grenzen);
• geen jailbreak of root waar u dat voor mobiel afdwingt.

Wat u níet op dag één stapelt: tientallen custom scripts, app-locking voor elke app, of “alleen goedgekeurde browsers wereldwijd” zonder uitzonderingspad. Dat blokkeert de business vóór het beleid rijp is. Liever drie eisen die iedereen snapt, dan twintig die niemand naleeft.

Conditional Access: require compliant device

De typische MSP-stap: compliancebeleid in Intune + Conditional Access-regel “toegang tot Microsoft 365-cloudapps alleen vanaf compliant apparaat” voor gekozen groepen. Vaak start u met een rapport-only of pilotgroep (IT + directie), daarna bredere rollout. Break-glass-accounts houden een uitzondering — anders kunt u uzelf buitensluiten. Voorwaardelijke toegang zonder werkende Intune-inschrijving is een valkuil: test inschrijving vóór u hard blokkeert.

Zie ons bredere stuk over voorwaardelijke toegang in Microsoft 365: apparaatnaleving is één stevige voorwaarde naast locatie, risico en MFA.

Hoe Floor ICT dit uitrolt — en wat u beslist

In de Microsoft 365-tenant zetten wij doorgaans: Intune-licenties en enrollment (Windows Autopilot of company portal waar passend); een basiscompliancebeleid; Conditional Access “require compliant device” op afgesproken groepen; monitoring van non-compliant apparaten; en een uitzonderingspad voor break-glass en korte pilots. We leggen uit wat medewerkers moeten doen om compliant te worden (BitLocker starten, pincode zetten, app installeren).

U beslist nog steeds: of privéapparaten nog bij mail mogen, welke rollen hard afgedwongen worden, en hoe streng de update-eis is. Technische knoppen zonder eigenaarschap maken boze tickets; beleid zonder Intune blijft een papieren grens.