Zakelijke apps op privételefoons: wanneer het MKB app-beveiliging via Intune instelt

Waarom de privételefoon het zwakke punt is

Laptops zijn in de meeste MKB-bedrijven inmiddels netjes geregeld: versleuteld, bijgewerkt en beheerd. De telefoon is vaak het apparaat dat buiten elke afspraak valt. Medewerkers installeren zelf Outlook of gebruiken de standaard mail-app, loggen in met hun zakelijke account en hebben daarmee klantmail, Teams-gesprekken en gedeelde bestanden in hun broekzak.

Dat gaat goed tot er iets verandert. Een medewerker gaat uit dienst en houdt maandenlang mail en bestanden op de eigen telefoon. Een telefoon raakt kwijt zonder schermvergrendeling. Of iemand slaat een offerte op in een privé-cloudopslag of stuurt hem door via een chat-app, omdat dat sneller ging. U weet het niet, en u kunt er achteraf weinig aan doen.

Wat app-beveiliging wel en niet doet

Bij app-beveiligingsbeleid beheert u de zakelijke apps, niet het apparaat. Dat is het verschil met volledig apparaatbeheer, waarbij de hele telefoon in Intune wordt ingeschreven. Voor telefoons die eigendom zijn van medewerkers is app-beveiliging meestal de juiste keuze: genoeg bescherming voor bedrijfsdata, zonder inbreuk op het privéleven.

• toegang tot de app: Outlook, Teams en OneDrive vragen om een pincode, vingerafdruk of gezichtsherkenning, ook als de telefoon zelf al ontgrendeld is;
• data blijft zakelijk: kopiëren en plakken naar privé-apps, opslaan in privé-cloudopslag en doorsturen naar niet-beheerde apps kunt u blokkeren;
• versleuteling: bedrijfsgegevens in de apps worden versleuteld opgeslagen;
• selectief wissen: bij uitdienst of verlies verwijdert u alleen de bedrijfsgegevens uit de zakelijke apps, terwijl foto’s en privéapps blijven staan;
• minimale eisen: u kunt een minimale versie van het besturingssysteem eisen en telefoons met een gekraakt besturingssysteem weigeren.

Wat u niet ziet: privéfoto’s, privéberichten, browsergeschiedenis of de locatie van de telefoon. Leg dat ook zo uit aan medewerkers; het voorkomt veel weerstand.

Waarom voorwaardelijke toegang erbij hoort

Een beleid op Outlook en Teams heeft weinig zin als medewerkers met hetzelfde account ook gewoon de standaard mail-app op hun telefoon kunnen gebruiken. Daarom koppelt u app-beveiliging aan voorwaardelijke toegang: telefoons komen alleen bij zakelijke mail, Teams en bestanden via apps waarop het beleid actief is. Andere apps krijgen geen toegang.

Voor laptops werkt dat anders. Daar gebruikt u apparaatnaleving: alleen beheerde, versleutelde en bijgewerkte laptops mogen bij bedrijfsdata. Samen dekken die twee regels de meeste situaties in het MKB af.

Wat u deze maand regelt

Houd de eerste stap klein genoeg om echt uit te voeren:

• breng in kaart wie op een eigen telefoon zakelijke mail, Teams of bestanden gebruikt, en met welke apps;
• kies de zakelijke apps die u toestaat, meestal Outlook, Teams, OneDrive, Word, Excel en Microsoft Authenticator;
• bepaal de regels: pincode of biometrie, kopiëren naar privé-apps blokkeren, opslaan alleen in OneDrive of SharePoint;
• schrijf een korte uitleg voor medewerkers: wat het bedrijf wel en niet kan zien, en wat er gebeurt bij uitdienst;
• test het beleid eerst met een pilotgroep en zet daarna voorwaardelijke toegang aan voor iedereen.

Wat u niet op dag één doet: de standaard mail-app blokkeren zonder dat medewerkers Outlook al hebben ingesteld. Dan staat maandagochtend de helft van het team zonder mail.

Uitdienst en verlies: het moment waarop het telt

De echte waarde van app-beveiliging zie je op twee momenten. Bij uitdienst wist u de bedrijfsgegevens van de privételefoon als vast onderdeel van de uitdienstchecklist, zonder de medewerker te vragen de telefoon in te leveren. Bij verlies of diefstal wist u alleen de zakelijke data, terwijl de medewerker de telefoon zelf kan laten blokkeren bij de provider.

Wie verder wil, combineert het met gevoeligheidslabels en datalekpreventie, zodat vertrouwelijke documenten ook op de telefoon extra beschermd blijven.

Hoe Floor ICT dit uitrolt — en wat u beslist

Floor ICT controleert uw licenties, stelt in Microsoft Intune een app-beveiligingsbeleid op voor iPhone en Android, en test dat met een pilotgroep. Daarna zetten we voorwaardelijke toegang aan, zodat alleen beschermde apps bij bedrijfsdata kunnen. Selectief wissen nemen we op in de vaste werkwijze bij uitdienst, en vragen van medewerkers lopen via het ticketportaal.

U beslist welke apps zijn toegestaan, hoe streng de regels voor kopiëren en opslaan zijn, en of telefoons van het bedrijf volledig in beheer gaan. Wij adviseren; de afweging tussen gemak en bescherming blijft bij u.