BitLocker via Intune in Microsoft 365: wanneer het MKB schijfversleuteling afdwingt

Wat BitLocker via Intune wél is

BitLocker versleutelt de Windows-systeemschijf (en optioneel data-volumes). Als iemand de laptop steelt of de schijf eruit haalt, blijven bestanden ontoegankelijk zonder de BitLocker-sleutel of herstel-sleutel. Microsoft Intune kan BitLocker afdwingen via apparaatconfiguratie of als onderdeel van compliancebeleid: “dit apparaat moet versleuteld zijn” — anders is het non-compliant.

BitLocker is geen vervanging van meervoudige authenticatie en geen cloud-backup. Het beschermt data op het apparaat als dat apparaat fysiek zoekraakt. Cloudaccounts blijven apart beveiligd; zie ook waarom cloud geen backup is.

Wanneer het MKB dit serieus moet nemen

Drie signalen komen terug. U geeft Windows-bedrijfslaptops uit waarop Outlook, OneDrive of lokale projectmappen staan. Medewerkers reizen, werken thuis, of laten laptops in de auto of op kantoor liggen buiten openingsuren. Of u heeft compliance- of verzekeringseisen die schijfversleuteling expliciet noemen. Dan is “iedereen heeft multifactor authenticatie” nog niet genoeg: de offline schijf blijft leesbaar zonder BitLocker.

Nog niet elk microbedrijf met drie Chromebooks of alleen browsersessies hoeft morgen BitLocker op alles. Wél moet u bewust kiezen: welke Windows-apparaten mogen bedrijfdata lokaal houden, en moeten die versleuteld zijn vóór ze “compliant” heten? Directie, finance en projectleiders met klantmappen vaak eerst; zie ook apparaatnaleving met Intune.

Wat u wél eerst afdwingt — en wat u nog niet overengineert

Houd de eerste BitLocker-set kort genoeg om dit kwartaal live te krijgen:

• BitLocker verplicht op company-owned Windows-laptops die Microsoft 365 gebruiken;
• herstel-sleutels veilig opgeslagen in Entra ID / de Intune-tenant (escrow), zodat support kan helpen bij vergeten pincode;
• koppeling aan compliance: niet-versleuteld apparaat is non-compliant;
• desgewenst Conditional Access “require compliant device” voor gekozen groepen — na werkende enrollment;
• heldere gebruikerscommunicatie: wat gebeurt er bij herstart, pincode en wie belt support.

Wat u níet op dag één stapelt: complexe netwerk-unlock-scenario’s voor elk kantoor, BitLocker op elke oude desktop die toch al vast op kantoor staat zonder data, of “alleen goedgekeurde USB-sticks wereldwijd” zonder uitzonderingspad. Liever versleuteling die écht aan staat op de laptops die reizen, dan twintig policies die niemand begrijpt.

Herstel-sleutels, TPM en support

De typische MSP-stap: Intune-beleid dat BitLocker aanzet, Trusted Platform Module (TPM) gebruikt waar aanwezig, en de herstel-sleutel naar de tenant schrijft. Zonder escrow raakt u de data kwijt als de gebruiker de pincode vergeet én niemand de sleutel heeft — dat is erger dan geen BitLocker. Test het supportpad: wie mag herstel-sleutels inzien, hoe helpt u een medewerker na een BIOS-update of hardwarewissel?

Mac-apparaten gebruiken FileVault in plaats van BitLocker; behandel die in hetzelfde complianceverhaal, niet als “later ooit”. Mobiele telefoons hebben hun eigen versleuteling via het besturingssysteem — BitLocker is het Windows-stuk van de apparaatgrens.

Hoe Floor ICT dit uitrolt — en wat u beslist

In de Microsoft 365-tenant zetten wij doorgaans: Intune-encryptiebeleid voor Windows; escrow van herstel-sleutels; controle dat BitLocker echt actief is (niet alleen “policy toegewezen”); koppeling aan apparaatnaleving waar afgesproken; en een runbook voor vergeten pincode of hardwarefout. We leggen uit wat medewerkers zien bij de eerste encryptieronde (tijd, herstart, pincode).

U beslist nog steeds: of privé-Windows-pc’s nog bij mail mogen zonder BitLocker, welke groepen hard afgedwongen worden, en of Conditional Access pas ná een pilotgroep hard blokkeert. Technische knoppen zonder eigenaarschap maken boze tickets; beleid zonder werkende sleutel-escrow maakt data onbereikbaar voor uzelf.