Sikkerhed og Fleksibilitet: Microsoft MDM med Intune

I en verden, hvor grænserne mellem arbejde og privatliv udviskes, og fleksibilitet er blevet et nøgleord, står virksomheder over for nye udfordringer inden for databeskyttelse. Tidligere var det simpelt: Medarbejderne brugte virksomhedsejede enheder, og sikkerhedshåndtering var ligetil. Men med den stigende popularitet af Bring Your Own Device (BYOD)-modellen, hvor medarbejdere bruger deres personlige enheder til arbejdsrelaterede opgaver, er landskabet blevet mere komplekst.

Denne overgang til BYOD har skabt et behov for robuste løsninger, der kan beskytte følsomme virksomhedsdata på tværs af et utal af mobile enheder og operativsystemer. Microsoft har adresseret denne udfordring med Microsoft Intune, en omfattende løsning designet til at give IT-administratorer fuld kontrol over data på tværs af Android, iOS/iPadOS, macOS og Windows enheder. Denne artikel vil guide dig gennem Microsofts økosystem for mobil enhedsadministration, dets funktioner, og hvordan du effektivt kan implementere det i din virksomhed for at sikre både data og medarbejderfleksibilitet.

Hvad er Microsoft Mobile Device Management (MDM)?

Microsoft tilbyder en suite af løsninger og teknologier, der gør det muligt for virksomheder at fjernadministrere, få adgang til og beskytte data, der er gemt på både virksomhedsejede og medarbejderejede enheder. Denne praksis med at administrere enheder og data kaldes Mobile Device Management (MDM).

Kernen i Microsofts MDM-strategi er Microsoft Endpoint Manager (MEM), som er en del af Microsoft 365-tjenestestakken. Under MEM-brandet finder du Configuration Manager og Intune-abonnementet. Disse to platforme giver dig fuld kontrol over dine data på enhver enhed, der tilgår din virksomheds data – uanset om den er virksomhedsejet eller medarbejderejet. Udover Endpoint Manager kræves også et Azure Active Directory (Azure AD) abonnement til at gemme bruger-/medarbejderdata. Endpoint Manager vil hente og verificere disse data fra Azure AD, før brugere får adgang til dit virksomhedsnetværk.

Endpoint Manager, Intune og Azure Active Directory er cloud-native løsninger, hvilket betyder, at de er bygget til skyen og tilbyder fleksibilitet og skalerbarhed. Det er dog vigtigt at bemærke, at Microsoft også tilbyder muligheder for at integrere en on-premise Active Directory og en on-premise Configuration Manager med Intune, hvis din virksomhed har behov for en hybridløsning.

Intune indeholder også Mobile Application Management (MAM)-funktioner, som giver IT-administratorer mulighed for at få adgang til, opdatere, fejlfinde og administrere individuelle applikationer på brugernes enheder. Dette adskiller sig fra traditionel MDM ved at fokusere på applikationsniveau i stedet for hele enheden. Denne kombination af MDM og MAM gavner også medarbejderne, da de for eksempel ikke behøver at bekymre sig om utilsigtet at overtræde virksomhedens politikker eller manuelt opdatere apps.

Sammen giver Microsoft MDM og MAM organisationer fuld kontrol over virksomhedsdata, der er gemt på både virksomhedsejede og medarbejdernes private enheder, uden at kompromittere medarbejdernes privatliv. Dette er afgørende for at opretholde tillid og sikre en produktiv arbejdsstyrke i et BYOD-miljø.

Hvad bruges Microsoft MDM til? (Anvendelsesscenarier)

MDM-tjenester giver dig mulighed for at oprette sikkerhedspolitikker, der dikterer en enheds adfærd, når den tilgår følsomme virksomhedsdata. Disse politikker bestemmer, hvordan brugere kan logge ind på din virksomhedsportalen (hjemmeside eller applikation), og hvad de kan og ikke kan gøre efter login. Hvis en medarbejder ønsker at medbringe sin egen enhed på arbejde, skal de acceptere disse politikker.

Her er nogle konkrete anvendelsesscenarier for mobil enhedsadministration:

• Adgangsbegrænsninger: Du kan kræve, at medarbejdere kun tilgår virksomhedsportalen via Wi-Fi- eller VPN-netværk på virksomhedens lokaler. Du kan også begrænse adgangen til virksomhedsportalen med offentlige netværk, da de er sårbare over for hacking. Denne kontrol sikrer, at data kun overføres via sikre og godkendte kanaler.
• Sletning af data: IT-administratorer kan fjernslette en enhed fuldstændigt ved at gendanne den til fabriksindstillinger eller selektivt slette virksomhedsdata. Denne handling kan udføres eksternt, hvis enheden mistes eller stjæles, eller hvis en medarbejder forlader organisationen. Dette er en kritisk funktion for at forhindre datalækage.
• Opdatering og administration af apps:Intune MAM gør det muligt at publicere interne og forretningsspecifikke apps i virksomhedsportalen. Når medarbejdere er tilmeldt mobil enhedsadministration, kan IT-administratorer pushe, opdatere, selektivt slette, konfigurere, sikre og overvåge disse applikationer. Det sikrer, at alle medarbejdere altid har adgang til de nyeste og sikreste versioner af nødvendige apps.
• Databeskyttelse: Ud over at slette data on-demand udstyrer Intune dig med andre værktøjer og metoder til at beskytte data. Nogle eksempler inkluderer:
  • Tillad kun betinget adgang til følsomme data baseret på enhedsstatus, brugerplacering eller app-konfiguration.
  • Begræns brugere i at eksportere virksomhedsdata til personlige lagerenheder eller ikke-godkendte cloud-tjenester.
  • Opsæt strenge sikkerhedspolitikker for at beskytte data, såsom at forbyde folk at sende e-mails til personer uden for organisationen med følsomt indhold.
  • Integrer en mobil trusselsforsvarsapplikation, der konstant scanner for sårbarheder på tværs af dine netværk og brugerapplikationer.
  • Bloker brugen af kameraet på lokaler, hvor fortrolige oplysninger håndteres.
  • Begræns brugere, der befinder sig uden for organisationens bygning, fra at oprette forbindelse til Wi-Fi-netværk, der kræver høj sikkerhed.
  • Bloker skadelige apps fra at blive downloadet fra uofficielle kilder.
  • Begræns jailbroken eller rodfæstede enheder fra dit netværk, da de udgør en betydelig sikkerhedsrisiko.
  • Tildel rollebaseret adgangskontrol til IT-administratorer i Endpoint Manager-konsollen for at sikre, at kun autoriseret personale kan udføre specifikke handlinger.
  • Opsæt krav om multi-faktor godkendelse (MFA) for bestemte handlinger eller adgang til særligt følsomme data.

Derudover kan du forhindre tab af data ved at oprette politikker, der instruerer Intune til automatisk at gemme data i skyen eller på din organisations centrale server. Du kan også fratage medarbejdere bemyndigelse til at slette følsomme data, hvilket er afgørende for at opretholde dataintegritet og overholdelse af lovgivning.

Nøglefunktioner i Microsoft MDM-løsningen

Microsofts MDM-løsning er designet til at være omfattende og fleksibel, og den tilbyder en række funktioner, der imødekommer moderne virksomheders behov:

• Enkel mobiladministration med Intune: Intune understøtter alle større operativsystemer på markedet, herunder Android, iOS/iPadOS, macOS og Windows. Det kan administrere telefoner, tablets, bærbare computere og pc'er fra ét enkelt administrativt rum (Endpoint Manager). Herfra kan du kategorisere brugere og grupper for nem administration, uanset hvor stor din organisation er. Denne centraliserede tilgang forenkler IT-administrationen betydeligt og reducerer kompleksiteten.
• Co-management og Tenant Attach-muligheder: Disse funktioner er designet til organisationer, der allerede bruger on-premise Configuration Managers og enten ønsker at migrere helt til Microsofts cloud-tjenester gradvist eller slet ikke.
  • Med Co-management kan du bruge Intune og din on-premise Configuration Manager til at dele MDM-arbejdsbyrder. Denne opsætning er ideel til BYOD-miljøer, da en Configuration Manager alene kan begrænse antallet af enheder, du kan administrere (f.eks. understøtter Microsoft Configuration Manager kun Windows, macOS og Windows Server-baserede on-premise enheder). Co-management giver dig det bedste fra begge verdener.
  • Du kan også aktivere Tenant Attach-funktionalitet for at kontrollere din on-premise Configuration Manager eksternt med Microsoft Endpoint Manager. Dette giver dig et samlet overblik og kontrolpunkt for både dine cloud- og on-premise enheder.
• Integration med sikkerheds- og beskyttelsestjenester: Ud over at integrere Microsoft Defender og Windows Defender i dit MDM-økosystem kan du tilslutte et tredjeparts mobilt trusselsforsvarssystem for at forbedre sikkerheden yderligere. Denne åbne arkitektur giver dig frihed til at vælge de sikkerhedsløsninger, der bedst passer til dine specifikke behov.

Implementering af Microsoft MDM: Dine Muligheder

Uanset om du vil opbygge dit MDM-økosystem fra bunden eller allerede har en on-premise MDM-tjeneste på plads, har du flere muligheder for at migrere til eller integrere med Microsoft MDM.

For eksisterende systemer:

Hvis du allerede har systemer på plads, kan du vælge mellem 4 muligheder:

1. Tilføj Tenant Attach: Hvis du administrerer enheder med en on-premise Configuration Manager, kan du aktivere Tenant Attach-funktionalitet i Endpoint Manager for at fjernstyre den on-premise Configuration Manager. Dette giver dig et centraliseret overblik i skyen over dine lokale enheder.
2. Opsæt Co-management: Del arbejdsbyrden mellem din on-premise Configuration Manager og Intune. Anbefales til virksomheder, der ønsker at overgå til en BYOD-model, da det giver fleksibilitet til at administrere både traditionelle og personlige enheder.
3. Flyt fra Configuration Manager til Intune: Anbefales, hvis de fleste brugerenheder kører på Windows OS, og du ønsker en fuld cloud-baseret løsning. Dette er dog mindre ideelt for et diversificeret BYOD-økosystem med mange forskellige operativsystemer.
4. Start fra bunden med Microsoft 365 og Intune: Hvis de fleste klientenheder i din organisations økosystem kører på Windows, kan du implementere Microsoft 365 for at drage fuld fordel af hele suiten af Microsoft-produkter og -tjenester, såsom Office 365 og cloud storage, og integrere det med Intune for en komplet, cloud-native løsning.

For ny implementering:

Hvis du implementerer MDM fra bunden, har du disse to ligetil muligheder:

1. Intune + Endpoint Manager: Hele MDM-systemet vil være cloud-native. Enheder kan administreres eksternt. Det er fremragende til BYOD-miljøer, da det understøtter en bred vifte af enheder og operativsystemer direkte fra skyen.
2. Configuration Manager + Endpoint Manager: Kombiner din on-premise Configuration Manager med den cloud-native Endpoint Manager. Dette er en hybrid tilgang, der kan være passende for organisationer, der har specifikke krav til lokal kontrol af visse enheder.

Sådan opsætter du Microsoft Intune

Intune og Configuration Manager sælges under Microsoft Endpoint Manager-brandet, som er inkluderet i Microsoft 365-løsninger. Derfor skal du for at implementere Intune have en af følgende licenser:

• Microsoft 365 E5
• Microsoft 365 E3
• Enterprise Mobility + Security E5
• Enterprise Mobility + Security E3
• Microsoft 365 Business Premium
• Microsoft 365 F1
• Microsoft 365 F3
• Microsoft 365 Government G5
• Microsoft 365 Government G3
• Microsoft 365 Education A5
• Microsoft 365 Education A3

Det næste skridt vil være at logge ind på Endpoint Manager og tilmelde dig Intune.

Registrering af enheder

For BYOD-arbejdspladsøkosystemer skal Intune indstilles som MDM-myndighed. Intune kan registrere både medarbejderejede og organisationsejede enheder. Intune understøtter Windows, iOS, macOS og Android-platforme. Dine brugere skal være registreret med Azure AD, som fungerer som den centrale identitetsudbyder for at verificere adgang.

Administration af enheder og apps

IT-administratorer kan administrere enheder via Microsoft Endpoint Manager. Her kan de udføre handlinger, herunder:

• Slette data (fjernsletning eller selektiv sletning).
• Genstarte en enhed.
• Se en enhedsejers navn og enhedsmodel.
• Lokalisere en enhed (hvis aktiveret og relevant for enhedstypen).
• Synkronisere en enhed med de seneste politikker.
• Opdatere en mobil dataabonnement (for specifikke enheder og udbydere).

Intune har Mobile Application Management (MAM)-funktioner, der giver administratorer mulighed for at pushe, konfigurere, beskytte og administrere apps på registrerede enheder. Start med at tilføje de apps, du ønsker at administrere i Intune. Derefter opretter du politikker for appsene for at sikre databeskyttelse. Intunes konsol viser installations- og sårbarhedsstatus for appsene, hvilket giver et proaktivt overblik over app-sikkerheden.

Uddannelse af dine brugere

Dine medarbejdere forstår måske ikke fuldt ud, hvordan mobil enhedsadministration for BYOD fungerer. Spørgsmålet om privatlivets fred kan bekymre medarbejdere, især når det gælder personlige enheder.

At uddanne slutbrugerne om, hvad Intune kan og ikke kan se på deres personlige enheder, kan forbedre brugeroplevelsen og overholdelsen. For eksempel har Intune ikke adgang til personlige data som fotos, tekstbeskeder, private e-mails, opkaldshistorik, webhistorik, private filer eller nogen uadministreret app-oversigt. Derimod kan IT-administratorer se enhedsmodelnavn, dens producent, enhedsejers navn og administrere app-oversigt for virksomhedsapps.

Du kan dele dokumentation om, hvad Intune kan få adgang til på en enhed, med dine medarbejdere og lade dem vælge, om de ønsker at registrere deres personlige enheder eller ej. Hvis de ønsker at tilmelde sig, vil de finde videoguides til enhedsregistrering yderst nyttige. Efter registrering kan dine medarbejdere ved hjælp af vejledninger downloade apps fra virksomhedsportalen og nyde den bekvemmelighed, som BYOD-modellen tilbyder, velvidende at deres private data forbliver private.

Sammenligning af MDM-scenarier og Microsofts Løsninger

For at hjælpe dig med at vælge den rette tilgang, se denne sammenligning af forskellige MDM-scenarier og de tilsvarende Microsoft-løsninger:

Ofte Stillede Spørgsmål om Microsoft MDM

For at afklare yderligere spørgsmål om Microsofts Mobile Device Management, har vi samlet nogle af de mest almindelige spørgsmål:

Hvad er BYOD?

BYOD står for Bring Your Own Device. Det er en praksis, hvor medarbejdere bruger deres personlige smartphones, tablets eller bærbare computere til arbejdsrelaterede opgaver. Dette giver medarbejderne fleksibilitet og kan øge produktiviteten, men kræver robuste MDM-løsninger som Microsoft Intune for at sikre virksomhedsdata.

Hvad er forskellen mellem MDM og MAM?

MDM (Mobile Device Management) fokuserer på at administrere hele enheden, herunder dens operativsystem, sikkerhedsindstillinger og app-installationer. Det er typisk mere indgribende og bruges ofte til virksomhedsejede enheder. MAM (Mobile Application Management) derimod, fokuserer på at administrere og beskytte data på applikationsniveau. Med MAM kan IT-administratorer styre, hvordan virksomhedsdata bruges inden for specifikke apps, selv på personlige enheder, uden at have fuld kontrol over hele enheden. Intune tilbyder begge dele, hvilket giver fleksible løsninger for både virksomhedsejede og BYOD-enheder.

Hvilke oplysninger kan Intune se på min private enhed?

På en personlig BYOD-enhed kan Intune se begrænsede oplysninger for at sikre virksomhedsdata, såsom enhedsmodelnavn, producent, operativsystemversion, enhedsejerens navn og en oversigt over administrerede virksomhedsapps. Intune har ikke adgang til personlige data som fotos, private tekstbeskeder, personlige e-mails, opkaldshistorik, privat webhistorik, personlige filer eller uadministreret app-oversigt. Formålet er at beskytte virksomhedsdata uden at krænke medarbejderens privatliv.

Er Azure Active Directory nødvendigt for Intune?

Ja, Azure Active Directory (Azure AD) er en grundlæggende komponent for Intune. Azure AD bruges til at administrere brugeridentiteter og -adgang. Intune er dybt integreret med Azure AD for at autentificere brugere, håndhæve politikker og styre, hvilke enheder og apps der kan få adgang til virksomhedsressourcer. Uden Azure AD kan Intune ikke fungere effektivt.

Hvad er Microsoft Endpoint Manager?

Microsoft Endpoint Manager (MEM) er en samlet platform fra Microsoft, der kombinerer funktionaliteter fra Microsoft Intune og Configuration Manager. Det er designet til at administrere alle slutpunkter (enheder) i din organisation – uanset om de er i skyen, on-premise eller en hybrid af begge. MEM giver en centraliseret konsol til administration af enheder, apps og sikkerhedspolitikker på tværs af forskellige operativsystemer.

Afsluttende tanker om datasikkerhed

Lækage af følsomme organisationsoplysninger kan potentielt skade en virksomhed og en persons karrieremuligheder. Derfor er det afgørende at sikre, at enheder er fuldstændigt slettet og i fabriksindstillinger, når man køber eller sælger en brugt telefon. Du ønsker ikke at købe en enhed, der stadig er tilmeldt MDM-software, eller sælge en enhed, der stadig indeholder virksomhedsdata.

En Phonecheck-rapport kan bruges til at fastslå, om en enhed er blevet sikkert slettet og gendannet til fabriksindstillinger. Phonecheck tilbyder en komplet løsning til mobil enhedsbehandling, der kontrollerer, om en enhed er ulåst, er rapporteret tabt eller stjålet, har et sundt batteri, er blevet repareret, eller har en sortlistet status, blandt andet. Forhandlere kan købe og sælge brugte telefoner med tillid med Phonecheck-certificering, hvilket tilføjer et ekstra lag af sikkerhed i den cirkulære økonomi for mobile enheder.

Hvis du vil læse andre artikler, der ligner Sikkerhed og Fleksibilitet: Microsoft MDM med Intune, kan du besøge kategorien Teknologi.