Wdrożenie Intune Opole

Co się dzieje z laptopem, który włącza się po drugiej stronie granicy?

W opolskiej firmie handlującej z partnerem zagranicznym to zdarzenie zwyczajne, a nie wyjątkowe. Handlowiec jedzie na spotkanie, kierownik na odbiór, ktoś z technicznych na uruchomienie u odbiorcy. Sprzęt wyjeżdża razem z nimi i przez kilka dni pracuje poza siecią firmy, na cudzym połączeniu bezprzewodowym albo na telefonie użytym jako punkt dostępu.

Bez wdrożonych zasad ten laptop jest w tym czasie zwykłym komputerem z zapisanymi hasłami i całą pocztą. Zgubiony w pociągu albo zabrany z samochodu oddaje wszystko, co ma, każdemu, kto go otworzy. Firma dowiaduje się o stracie po fakcie i nie ma żadnego narzędzia poza zmianą haseł, która przy niezaszyfrowanym dysku niczego nie ratuje.

Z wdrożonymi zasadami ten sam sprzęt ma zaszyfrowany dysk, wymuszoną blokadę ekranu, aktualny system i możliwość zdalnego odcięcia. Zmienia się też sposób myślenia o zdarzeniu, bo zgubiony laptop przestaje być awarią, a staje się procedurą, która ma spisaną kolejność kroków i osobę uruchamiającą je z trasy.

Dlaczego nie blokujemy logowań spoza kraju?

Bo w firmie z Opolszczyzny to rozwiązanie uderza najpierw we własnych ludzi. Zasada przepuszczająca wyłącznie połączenia z Polski wygląda na prosty sposób odcięcia obcych prób logowania, a jej pierwszą ofiarą jest handlowiec, który staje na parkingu za granicą i nie może otworzyć poczty przed spotkaniem.

Dochodzi do tego problem techniczny, o którym łatwo zapomnieć. Adres, spod którego łączy się telefon w podróży, bywa przypisany do zupełnie innego kraju niż faktyczne miejsce pobytu, bo operator kieruje ruch przez własną sieć. Reguła oparta o kraj bywa więc jednocześnie za ostra dla swoich i za łagodna dla obcych.

Zamiast tego oceniamy stan urządzenia. Sprzęt musi być zarejestrowany, zgodny z zasadami, zaszyfrowany i aktualny, a logowanie potwierdzone drugim składnikiem. Takie warunki spełnia Wasz laptop w każdym miejscu na świecie i nie spełnia ich cudzy komputer, nawet stojący w tym samym mieście co Wasze biuro. Reguły oparte o kraj zostawiamy wyłącznie dla kont administracyjnych, gdzie liczba osób jest mała, a lista wyjątków krótka.

Które zasady wchodzą na sprzęt jadący do kontrahenta?

Poniżej zdarzenia zdarzające się w podróży wraz z tym, co przy każdym z nich robi zasada, oraz z tym, co i tak zostaje przy człowieku.

Zdarzenie w podróży	Co robi zasada	Co zostaje przy człowieku
Laptop zostaje w samochodzie na parkingu	zaszyfrowany dysk, ekran blokowany po chwili bezczynności	decyzja, czy w ogóle zabierać sprzęt na to spotkanie
Połączenie z siecią bezprzewodową u kontrahenta	ruch do zasobów firmy idzie szyfrowanym kanałem	powstrzymanie się od pracy na cudzym komputerze
Prośba o przesłanie pliku na prywatny adres	blokada kopiowania danych firmowych poza obszar firmowy	wyjaśnienie odbiorcy, dlaczego plik przyjdzie inaczej
Telefon z firmową pocztą i prywatną kartą	firmowa przestrzeń oddzielona i możliwa do usunięcia	zgoda na to rozdzielenie, ustalona przy wydaniu
Zgubiony sprzęt kilkaset kilometrów od biura	odcięcie konta, unieważnienie sesji, polecenie wyczyszczenia	zgłoszenie faktu od razu, a nie po powrocie
Powrót do firmy po dwóch tygodniach	nadrobienie aktualizacji i zasad przy pierwszym połączeniu	włączenie sprzętu w firmie, a nie dopiero przed kolejnym wyjazdem

Ostatni wiersz jest najczęściej pomijany przy planowaniu, a decyduje o tym, czy cała reszta w ogóle zadziała. Urządzenie, które przez miesiąc nie łączy się z siecią, nie dostaje niczego, co w tym czasie ustawiliśmy, więc pojawia się na liście niezgodnych i wymaga rozmowy, a nie kolejnej reguły.

Czym różni się telefon służbowy od prywatnego z firmową pocztą?

Zakresem tego, co wolno nam zrobić, i to rozróżnienie ustalamy przed wdrożeniem, nie po pierwszym incydencie. Telefon kupiony przez firmę rejestrujemy w całości: wymuszamy blokadę ekranu, szyfrowanie, aktualizacje i możliwość wyczyszczenia całego urządzenia.

Telefon prywatny obejmujemy inaczej. Zasady dotyczą wyłącznie firmowej przestrzeni, czyli poczty, plików i aplikacji pracy. Nie widzimy zdjęć, kontaktów prywatnych, wiadomości ani zainstalowanych gier, a przy rozstaniu z pracownikiem usuwamy tylko część firmową. Właściciel zachowuje swój sprzęt w stanie nienaruszonym, co bywa jedynym argumentem, który przekonuje zespół do całego rozwiązania.

Trzecia sytuacja zdarza się w opolskich firmach częściej niż gdzie indziej i wymaga osobnej decyzji. Chodzi o telefon z dwiema kartami, prywatną i służbową, używany w podróży zagranicznej. Rozdzielenie danych działa tam tak samo, ale warto wcześniej ustalić, kto płaci za transmisję poza krajem, bo inaczej pierwszy rachunek zamyka temat szybciej niż jakiekolwiek względy bezpieczeństwa.

Gdzie kończy się to, co da się wymusić z konsoli?

Kończy się na zachowaniu ludzi i mówimy o tym wprost, żeby nikt nie kupował poczucia bezpieczeństwa zamiast bezpieczeństwa. Zasady nie powstrzymają pracownika przed pokazaniem specyfikacji na ekranie w pociągu, przed podyktowaniem hasła przez telefon ani przed wysłaniem dokumentu do niewłaściwej osoby na liście odbiorców.

Nie zastąpią też ochrony poczty. Podszyta wiadomość z nowym numerem rachunku jest w firmie wymieniającej faktury z zagranicznym kontrahentem groźniejsza niż zgubiony laptop, a broni się przed nią uwierzytelnieniem domeny i procedurą potwierdzania zmian innym kanałem, nie zasadami na urządzeniu.

Nie obejmują wreszcie sprzętu, który nie jest komputerem ani telefonem. Terminal w magazynie, waga z wydrukiem i drukarka etykiet mają własne mechanizmy albo nie mają ich wcale, więc chroni się je oddzieleniem sieci, a to zakres obsługi informatycznej firm w Opolu. Wersję ogólnopolską tej usługi opisuje wdrożenie Intune, środowisko, w którym te zasady działają, wdrożenie Microsoft 365, a bieżącą opiekę Microsoft 365 dla firm w Opolu. Licencje sprawdzimy przed wyceną po kontakcie.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026