Firma ma 30 pracowników, z czego połowa pracuje zdalnie. Ktoś używa służbowego laptopa, ktoś prywatnego MacBooka, ktoś loguje się do firmowego Outlooka z telefonu. Dane firmowe krążą po urządzeniach, nad którymi nikt nie ma kontroli – nie wiadomo, czy mają aktualne aktualizacje zabezpieczeń, ani co się stanie z plikami firmowymi, gdy pracownik odejdzie i zabierze swój telefon.
Tak wygląda dziś praca w większości polskich firm, które wdrożyły Microsoft 365, ale zatrzymały się w połowie drogi. Mają chmurę, pocztę, Teams, nie mają jednak żadnej polityki zarządzania urządzeniami. Microsoft Intune to narzędzie, które tę lukę wypełnia. Poniżej wyjaśniamy, czym dokładnie jest, jak działa w praktyce i kiedy wdrożenie ma sens dla Twojej firmy.
Co to jest Microsoft Intune?
Microsoft Intune to chmurowa usługa do zarządzania urządzeniami i aplikacjami w firmie. Daje administratorowi IT centralny panel, z którego można kontrolować wszystkie urządzenia podłączone do firmowego środowiska, niezależnie od tego, gdzie fizycznie się znajdują i jaki mają system operacyjny.
Intune działa w dwóch podstawowych trybach:
- MDM (Mobile Device Management) – zarządzanie całym urządzeniem. Administrator może wymuszać polityki bezpieczeństwa, zdalnie blokować lub wyczyścić urządzenie, wdrażać aplikacje i aktualizacje. Wykorzystywany głównie dla urządzeń służbowych, obejmuje wszystkie obsługiwane platformy: Windows, macOS, iOS/iPadOS, Android.
- MAM (Mobile Application Management) – zarządzanie tylko aplikacjami firmowymi, bez ingerencji w całe urządzenie. W praktyce dostępny wyłącznie dla urządzeń mobilnych – iOS/iPadOS i Android. Wykorzystywany w modelu BYOD (Bring Your Own Device), gdy pracownik używa prywatnego telefonu do celów służbowych. Firma zarządza danymi w Outlooku czy Teams, prywatne dane pracownika pozostają poza zasięgiem. Dla laptopów – zarówno Windows, jak i macOS – Intune nie oferuje odpowiednika MAM. Jeśli firmowe polityki mają objąć taki sprzęt, musi on zostać w pełni zarejestrowany w trybie MDM, co w praktyce wyklucza go z modelu BYOD w rozumieniu „urządzenie prywatne, dane firmowe wydzielone”.
Intune jest częścią ekosystemu Microsoft, ściśle integruje się z Microsoft 365 i opiera na tożsamości zarządzanej przez Microsoft Entra ID (dawniej Azure Active Directory). To nie jest izolowana aplikacja: uzupełnia wdrożenie M365 o realną warstwę kontroli nad urządzeniami. Bez tego elementu chmura Microsoftu daje dostęp do danych, ale nie daje narzędzi do zarządzania tym, kto i z czego do tych danych sięga.
Jak działa Microsoft Intune w firmie?
Działanie Intune można opisać w trzech krokach: rejestracja urządzenia, przypisanie polityk, egzekwowanie reguł.
Rejestracja urządzenia
Rejestracja może odbywać się na kilka sposobów. Automatyczna rejestracja przy pierwszym uruchomieniu urządzenia korzysta z Windows Autopilot (Windows) lub Apple Business, czyli usługi dawniej znanej jako Apple Business Manager (Apple), i nie wymaga ręcznej konfiguracji sprzętu przez IT – urządzenie samo zgłasza się do MDM zaraz po włączeniu.
Możliwa jest też rejestracja ręczna – użytkownik samodzielnie instaluje aplikację Portal firmowy i loguje się kontem firmowym, albo administrator dodaje urządzenie ręcznie w panelu. Ta ścieżka działa niezależnie od kanału zakupu sprzętu, ale wiąże się z kompromisami: brak automatycznego wymuszenia profilu MDM od pierwszego uruchomienia, więcej pracy IT przy każdym urządzeniu z osobna oraz mniejsza pewność, że sprzęt trafi pod zarządzanie, zanim pracownik zacznie go faktycznie używać.
Po rejestracji urządzenie pojawia się w panelu administracyjnym: widoczny jest jego stan, system operacyjny, wersja zabezpieczeń i zgodność z politykami firmy.
Przypisanie polityk bezpieczeństwa
Polityki to zestaw reguł egzekwowanych przez Intune na zarządzanych urządzeniach. Przykłady praktycznych zastosowań:
- wymóg ustawienia PIN-u lub hasła do odblokowania urządzenia,
- wymóg szyfrowania dysku,
- blokada kopiowania danych firmowych do prywatnych aplikacji,
- automatyczna instalacja aktualizacji systemowych,
- blokada dostępu do zasobów firmowych z urządzenia niespełniającego wymogów bezpieczeństwa (tu wchodzi Conditional Access, czyli dostęp warunkowy przez Entra ID).
Polityki można przypisywać do grup użytkowników lub urządzeń. Menedżer sprzedaży dostaje inne reguły niż pracownik biurowy, urządzenia iOS inne niż laptopy Windows.
Egzekwowanie i raportowanie
Intune stale monitoruje zgodność urządzeń z przypisanymi politykami. Jeśli urządzenie przestaje spełniać wymogi – na przykład użytkownik wyłączył szyfrowanie albo system operacyjny jest przestarzały – Intune może automatycznie ograniczyć dostęp do firmowych zasobów lub wysłać alert do administratora. W razie kradzieży lub zgubienia sprzętu administrator zdalnie go blokuje lub czyści: w trybie MAM tylko dane firmowe, w trybie MDM całe urządzenie.
Intune a Microsoft 365 – co je łączy
Intune to naturalne rozwinięcie środowiska Microsoft 365. Jeśli firma korzysta z Exchange Online, SharePoint i Teams, to właśnie Intune decyduje o tym, z jakich urządzeń i na jakich zasadach można do tych zasobów sięgnąć.
Dostęp do Intune zależy od posiadanego planu M365:
| Plan | Intune w cenie? | Uwagi |
|---|---|---|
| Business Basic / Standard | Nie | Można dokupić osobno (Intune Plan 1) lub rozważyć zmianę planu |
| Business Premium | Tak (Plan 1) | Rekomendowany dla MŚP – łączy produktywność z bezpieczeństwem; zawiera też Defender for Business i Entra ID Premium P1 |
| Microsoft 365 E3 | Tak | Od lipca 2026 obejmuje dodatkowo Intune Plan 2, Remote Help i Advanced Analytics w cenie |
| Microsoft 365 E5 | Tak | Pełny zakres funkcji Intune wraz z Defender for Endpoint Plan 2 |
Różnica między Business Premium a E3 nie ogranicza się do samej nazwy planu. Business Premium zawiera wyłącznie Intune Plan 1 – podstawowy zakres MDM/MAM: rejestrację urządzeń, polityki zgodności, profile konfiguracyjne i wdrażanie aplikacji. E3 (od lipca 2026) dodaje do tego: Intune Plan 2 – funkcje zaawansowane, m.in. Microsoft Tunnel, zarządzanie urządzeniami specjalistycznymi i aktualizacje firmware over-the-air; Remote Help – zdalny pulpit pozwalający IT pomóc użytkownikowi na jego urządzeniu bez dodatkowych narzędzi zewnętrznych; Advanced Analytics – rozszerzone raportowanie kondycji i wydajności urządzeń, wykraczające poza podstawowe metryki dostępne w Planie 1. Dla firmy wielkości opisywanej w tym artykule funkcje te są zwykle opcjonalne – Plan 1 w Business Premium wystarcza do wdrożenia podstawowego zarządzania urządzeniami.
Jeśli planujesz lub właśnie finalizujesz wdrożenie Microsoft 365, wdrożenie Intune jest kolejnym logicznym krokiem, szczególnie gdy firma pracuje zdalnie lub hybrydowo. Business Premium zawiera też podstawowe funkcje Microsoft Purview – etykiety poufności i ochronę przed wyciekiem danych (DLP) dla poczty, SharePoint i OneDrive. Pełny zakres funkcji compliance (m.in. wykrywanie ryzyka wewnętrznego, eDiscovery Premium) wymaga dodatkowej licencji Purview Suite. Intune i Purview razem tworzą warstwę ochrony: Intune pilnuje urządzeń, Purview pilnuje danych.
Intune i różne systemy operacyjne
Intune zarządza urządzeniami z Windows, macOS, iOS/iPadOS oraz Androidem – to istotne dla firm działających w mieszanym środowisku sprzętowym.
Apple. Intune obsługuje natywnie iOS/iPadOS i macOS w trybie MDM: może wymuszać polityki bezpieczeństwa, wdrażać aplikacje i zarządzać profilami konfiguracyjnymi. W połączeniu z Apple Business – usługą, która w kwietniu 2026 zastąpiła dotychczasowe Apple Business Manager – możliwa jest automatyczna rejestracja nowych urządzeń Apple bez ręcznej konfiguracji każdego sprzętu z osobna. Warto rozróżnić: BYOD w trybie MAM dotyczy w ekosystemie Apple wyłącznie iPhone’ów i iPadów. macOS nie ma odpowiednika MAM bez pełnej rejestracji – jeśli prywatny MacBook ma być objęty politykami firmowymi, wchodzi zawsze w tryb MDM, a nie w model BYOD z wydzielonymi danymi. Alternatywą w środowiskach czysto Apple jest Jamf – narzędzie dedykowane sprzętowi Apple, oferujące głębszą integrację z tym ekosystemem. Dla firm używających wyłącznie MacBooków i iPhone’ów Jamf bywa lepszym wyborem.
Android. Intune wspiera Android Enterprise, w tym tryb „profilu służbowego” (Work Profile), który – podobnie jak MAM na iOS – oddziela dane firmowe od prywatnych na tym samym telefonie. To ważna opcja przy BYOD, bo pozwala zarządzać wyłącznie aplikacjami firmowymi bez ingerencji w prywatną część urządzenia pracownika.
Dla firm ze środowiskiem mieszanym – Windows, Apple i Android – Intune jest najczęściej wybieranym rozwiązaniem, bo zarządza wszystkim z jednego panelu. Więcej o tym podejściu znajdziesz na stronie poświęconej integracji urządzeń Apple w firmie.
Dla jakich firm Microsoft Intune ma sens?
Intune nie jest narzędziem wyłącznie dla dużych korporacji. Wdrożenie zaczyna mieć sens już od kilkunastu pracowników, jeśli firma spełnia przynajmniej jeden z poniższych warunków:
- Pracownicy używają prywatnych urządzeń – telefonów lub laptopów – do służbowych celów.
- Firma ma pracowników zdalnych lub hybrydowych.
- Dane firmowe są wrażliwe: dane klientów, dokumenty finansowe, informacje objęte RODO.
- Firma korzysta z Microsoft 365 Business Premium – Intune jest już w licencji, wystarczy go wdrożyć.
- Brakuje kontroli nad tym, kto i z jakiego urządzenia loguje się do firmowych zasobów.
- Pracownik odszedł z firmy, a nie ma pewności, że dane firmowe zostały usunięte z jego urządzenia.
Zarządzanie urządzeniami wspiera też realizację obowiązków wynikających z RODO – np. możliwość zdalnego usunięcia danych osobowych z urządzenia byłego pracownika jest elementem, którego administrator danych może potrzebować, żeby wykazać zgodność.
Firmy, które przeszły przez migrację poczty do Microsoft 365, często na tym etapie odkrywają, że konfiguracja Exchange Online to dopiero pierwszy etap. Bez zarządzania urządzeniami firma nadal jest narażona na ryzyko na poziomie punktów końcowych (endpointów).
Najczęstsze obawy i jak je rozwiać
„To brzmi skomplikowanie. Czy damy radę sami?”
Intune działa przez przeglądarkę i nie wymaga lokalnej infrastruktury serwerowej. Jednak prawidłowa konfiguracja polityk, grup urządzeń, integracji z Entra ID i Conditional Access wymaga doświadczenia. Błędna konfiguracja może zablokować pracownikom dostęp do zasobów albo zostawić luki w bezpieczeństwie. Wdrożenie przez zewnętrznego dostawcę IT to jednorazowy koszt, który potem pracuje w tle bez stałej obsługi.
„Nie chcemy, żeby firma kontrolowała prywatne telefony pracowników”
Słuszna obawa, właśnie dlatego istnieje tryb MAM. W modelu BYOD Intune zarządza wyłącznie aplikacjami firmowymi: Outlook, Teams, OneDrive – i dotyczy to telefonów z iOS lub Android. Prywatne zdjęcia, aplikacje i wiadomości pozostają poza zasięgiem polityk firmowych. Pracownik widzi wyraźnie, co jest zarządzane przez pracodawcę, a co nie.
„Mamy już Microsoft 365, ale nie wiemy, czy mamy Intune w licencji”
To zależy od planu. Microsoft 365 Business Premium zawiera Intune, Business Basic i Business Standard nie. Przed wdrożeniem warto zweryfikować posiadane licencje – najprościej skontaktować się z dostawcą IT, który przejrzy Twoje konto w centrum administracyjnym M365.
„Czy wdrożenie Intune przerwie pracę zespołu?”
Przy odpowiednim planie nie. Rejestrację urządzeń można prowadzić etapami, zaczynając od grupy pilotażowej. Polityki wdraża się stopniowo, od najmniej inwazyjnych. Kluczowe jest wcześniejsze zaplanowanie procesu, a nie włączenie Intune bez przygotowania.
Czego Intune nie zrobi za Ciebie
Warto mieć realistyczne oczekiwania. Intune zarządza urządzeniami i egzekwuje polityki – ale nie zastępuje całościowej strategii bezpieczeństwa IT.
- Intune nie tworzy kopii zapasowej danych z Microsoft 365. To osobny temat – przeczytaj, dlaczego chmura Microsoftu nie zastępuje backupu.
- Intune nie wykrywa zaawansowanych zagrożeń – do tego służy Microsoft Defender for Endpoint, który można zintegrować z Intune.
- Intune może wymusić PIN lub hasło blokady samego urządzenia (długość, złożoność, czas do automatycznej blokady) w ramach polityk zgodności i konfiguracji – to nie jest zarezerwowane wyłącznie dla Entra ID. Czego Intune nie robi, to zarządzanie polityką hasła do konta firmowego, którym pracownik się loguje – jego złożonością, wygasaniem czy historią haseł. To pozostaje w gestii Entra ID. W praktyce oba mechanizmy działają obok siebie: Intune pilnuje zabezpieczenia samego urządzenia, Entra ID – zabezpieczenia konta.
- Intune nie konfiguruje się sam. Wymaga wdrożenia i utrzymania przez osobę z odpowiednią wiedzą techniczną.
Jak wygląda wdrożenie Intune w praktyce?
Typowe wdrożenie Intune dla firmy z sektora MŚP przebiega w kilku etapach: audyt obecnego środowiska i inwentaryzacja urządzeń, wybór modelu zarządzania (MDM, MAM lub oba), konfiguracja polityk bezpieczeństwa dopasowanych do firmy, wdrożenie pilotażowe na wybranej grupie użytkowników, a następnie stopniowe rozszerzenie na całą organizację. Dobrze przeprowadzone wdrożenie nie oznacza przestoju, pracownicy rejestrują swoje urządzenia bez przerywania pracy.
Jeśli chcesz wiedzieć, czy Twoja firma jest gotowa na wdrożenie Intune i jakie licencje M365 już posiadasz, skontaktuj się z DreamITeam. Przejrzymy Twoje środowisko i zaproponujemy konkretne kolejne kroki, bez zobowiązań.