Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Naarmate meer organisaties strategieën voor mobiele apparaten implementeren voor toegang tot werk- of schoolgegevens, wordt bescherming tegen gegevenslekken van het grootste belang. De mobiele toepassingsbeheeroplossing van Intune voor beveiliging tegen gegevenslekken is app-beveiligingsbeleid. Dit beleid zijn regels die ervoor zorgen dat de gegevens van een organisatie veilig blijven of opgeslagen blijven in een beheerde app, ongeacht of het apparaat is geregistreerd. Zie App-beveiliging overzicht van het beleid voor meer informatie.
Wanneer u beveiligingsbeleid voor apps configureert, kunnen organisaties op basis van het grote aantal verschillende instellingen en opties de beveiliging afstemmen op hun specifieke behoeften. Vanwege deze flexibiliteit is het mogelijk niet duidelijk welke permutatie van beleidsinstellingen vereist is om een volledig scenario te implementeren. Om organisaties te helpen bij het prioriteren van inspanningen voor het beveiligen van clienteindpunten, heeft Microsoft een nieuwe taxonomie geïntroduceerd voor beveiligingsconfiguraties in Windows en maakt Intune gebruik van een vergelijkbare taxonomie voor het beveiligingsbeleid voor apps. Het framework voor gegevensbescherming voor het beheer van mobiele apps.
Het configuratieframework voor gegevensbeveiliging van het app-beveiligingsbeleid is georganiseerd in drie unieke configuratiescenario's:
Niveau 1 Enterprise Basic-gegevensbescherming – Microsoft raadt deze configuratie aan als de minimale configuratie voor gegevensbeveiliging voor een bedrijfsapparaat.
Niveau 2 Verbeterde gegevensbescherming voor ondernemingen – Microsoft raadt deze configuratie aan voor apparaten waarop gebruikers toegang hebben tot gevoelige of vertrouwelijke informatie. Deze configuratie is van toepassing op de meeste mobiele gebruikers die toegang hebben tot werk- of schoolgegevens. Sommige besturingselementen kunnen van invloed zijn op de gebruikerservaring.
Niveau 3 Hoge gegevensbescherming voor ondernemingen: Microsoft raadt deze configuratie aan voor apparaten die worden beheerd door een organisatie met een groter of geavanceerder beveiligingsteam, of voor specifieke gebruikers of groepen die een uniek hoog risico lopen (gebruikers die omgaan met zeer gevoelige gegevens waarbij onbevoegde openbaarmaking aanzienlijke materiële schade voor de organisatie veroorzaakt). Een organisatie die waarschijnlijk het doelwit is van goed gefinancierde en geavanceerde tegenstanders, zou naar deze configuratie moeten streven.
App-beveiligingsbeleid, implementatiemethodologie van framework voor gegevensbescherming
Net als bij elke implementatie van nieuwe software, functies of instellingen, raadt Microsoft aan te investeren in een ringmethodologie voor het testen van validatie voordat het Data Protection Framework voor app-beveiligingsbeleid wordt geïmplementeerd. Het definiëren van implementatieringen is meestal een eenmalige gebeurtenis (of komt niet vaak voor), maar IT moet deze groepen opnieuw bezoeken om er zeker van te zijn dat de volgorde nog steeds correct is.
Microsoft beveelt de volgende implementatieringbenadering aan voor het framework voor gegevensbescherming van het app-beveiligingsbeleid:
| Implementatiering | Tenant | Evaluatieteams | Uitvoer | Tijdlijn |
|---|---|---|---|---|
| Kwaliteitsgarantie | Preproductietenant | Eigenaren van mobiele mogelijkheden, beveiliging, evaluatie van risico's, privacy, UX | Validatie van functionele scenario's, conceptdocumentatie | 0-30 dagen |
| Preview | Productietenant | Eigenaren van mobiele mogelijkheden, UX | Validatie van scenario's voor eindgebruikers, documentatie voor gebruikers | 7-14 dagen, kwaliteitscontrole achteraf |
| Productie | Productietenant | Eigenaren van mobiele mogelijkheden, IT-helpdesk | N.v.t. | 7 dagen tot meerdere weken, na preview |
Zoals aangegeven in de bovenstaande tabel, moeten alle wijzigingen aan het beveiligingsbeleid voor apps eerst worden uitgevoerd in een preproductieomgeving om inzicht te krijgen in de implicaties voor de beleidsinstelling. Nadat het testen is voltooid, kunnen de wijzigingen in productie worden genomen en worden toegepast op een subgroep van productiegebruikers, in het algemeen de IT-afdeling en andere groepen die hiervoor in aanmerking komen. En ten slotte kan de implementatie naar de rest van de mobiele gebruikerscommunity worden voltooid. De implementatie naar productie kan langer duren, afhankelijk van de omvang van de gevolgen voor de wijziging. Als er geen gevolgen voor de gebruiker zijn, zou de wijziging snel moeten worden geïmplementeerd, maar als de wijziging gevolgen heeft voor de gebruiker, moet de implementatie mogelijk trager verlopen omdat wijzigingen moeten worden doorgegeven aan de gebruikerspopulatie.
Houd bij het testen van wijzigingen in een app-beveiligingsbeleid rekening met de timing van de levering. De status van de levering van het app-beveiligingsbeleid voor een bepaalde gebruiker kan worden gecontroleerd. Zie Beveiligingsbeleid voor apps controleren voor meer informatie.
Afzonderlijke instellingen voor app-beveiligingsbeleid voor elke app kunnen worden gevalideerd op apparaten met behulp van Microsoft Edge en de URL about:Intunehelp. Zie Beveiligingslogboeken voor client-apps bekijken en Microsoft Edge voor iOS en Android gebruiken voor toegang tot beheerde app-logboeken.
App-beveiligingsbeleid, instellingen van framework voor gegevensbescherming
De volgende instellingen voor app-beveiligingsbeleid moeten worden ingeschakeld voor de betreffende apps en worden toegewezen aan alle mobiele gebruikers. Zie Instellingen voor beveiligingsbeleid voor iOS-apps en Instellingen voor beveiligingsbeleid voor Android-apps voor meer informatie over elke beleidsinstelling.
Microsoft raadt aan om gebruiksscenario's te controleren en te categoriseren, en vervolgens gebruikers te configureren aan de hand van de voorgeschreven richtlijnen voor dat niveau. Net als bij elk raamwerk moeten instellingen binnen een overeenkomstig niveau mogelijk worden aangepast op basis van de behoeften van de organisatie, aangezien gegevensbescherming de bedreigingsomgeving, risicobereidheid en impact op de bruikbaarheid moet evalueren.
Beheerders kunnen de onderstaande configuratieniveaus opnemen in hun ringimplementatiemethodologie voor test- en productiegebruik door de JSON-sjablonen van het Configuration Framework van het Configuratieframework van het Intune-app-beveiligingsbeleid te importeren met PowerShell-scripts van Intune.
Opmerking
Als u MAM voor Windows gebruikt, raadpleegt u App-beveiliging beleidsinstellingen voor Windows.
Beleid voor voorwaardelijke toegang
Om ervoor te zorgen dat alleen apps die app-beveiligingsbeleid ondersteunen, toegang hebben tot werk- of schoolaccountgegevens, is Microsoft Entra-beleid voor voorwaardelijke toegang vereist. Deze beleidsregels worden beschreven in Voorwaardelijke toegang: Goedgekeurde client-apps of app-beveiligingsbeleid vereisen.
Zie Goedgekeurde client-apps of app-beveiligingsbeleid vereisen met mobiele apparaten in Voorwaardelijke toegang: Goedgekeurde client-apps of app-beveiligingsbeleid vereisen voor stappen om het specifieke beleid te implementeren. Implementeer ten slotte de stappen in Oude verificatie blokkeren om verouderde verificatie compatibele iOS- en Android-apps te blokkeren.
Opmerking
Dit beleid maakt gebruik van de subsidiebesturingselementen Goedgekeurde clientapp vereisen en App-beveiligingsbeleid vereisen.
Apps die moeten worden opgenomen in het app-beveiligingsbeleid
Voor elk app-beveiligingsbeleid is de kerngroep van Microsoft Apps gericht, waaronder de volgende apps:
- Microsoft Edge
- Excel
- Kantoor
- OneDrive
- OneNote
- Outlook
- PowerPoint
- SharePoint
- Teams
- Te doen
- Word
Het beleid moet betrekking hebben op andere Microsoft-apps op basis van bedrijfsbehoeften, aanvullende openbare apps van derden waarin de Intune SDK die wordt gebruikt binnen de organisatie is geïntegreerd, evenals line-of-business-apps waarin de Intune SDK is geïntegreerd (of is ingepakt).
Basisgegevensbescherming voor ondernemingen van niveau 1
Niveau 1 is de minimale configuratie voor gegevensbeveiliging voor een zakelijk mobiel apparaat. Deze configuratie vervangt de noodzaak van basisbeleid voor apparaattoegang tot Exchange Online door een pincode te vereisen voor toegang tot werk- of schoolgegevens, de werk- of schoolaccountgegevens te versleutelen en de mogelijkheid te bieden om de school- of werkgegevens selectief te wissen. In tegenstelling tot Exchange Online beleid voor apparaattoegang zijn de onderstaande instellingen voor app-beveiligingsbeleid van toepassing op alle apps die zijn geselecteerd in het beleid, waardoor de toegang tot gegevens ook buiten scenario's voor mobiele berichten wordt beschermd.
Het beleid op niveau 1 dwingt een redelijk niveau van gegevenstoegang af, minimaliseert de gevolgen voor gebruikers en weerspiegelt de standaardinstellingen voor gegevensbescherming en toegangsvereisten bij het maken van een beleid voor app-beveiliging in Microsoft Intune.
Gegevensbescherming
| Instelling | Beschrijving van instelling | Waarde | Platform |
|---|---|---|---|
| Gegevensoverdracht | Maak een back-up van organisatiegegevens om... | Toestaan | iOS/iPadOS, Android |
| Gegevensoverdracht | Organisatiegegevens verzenden naar andere apps | Alle apps | iOS/iPadOS, Android |
| Gegevensoverdracht | Organisatiegegevens verzenden naar | Alle bestemmingen | Windows |
| Gegevensoverdracht | Gegevens ontvangen van andere apps | Alle apps | iOS/iPadOS, Android |
| Gegevensoverdracht | Gegevens ontvangen van | Alle bronnen | Windows |
| Gegevensoverdracht | Knippen, kopiëren en plakken tussen apps beperken | Alle apps | iOS/iPadOS, Android |
| Gegevensoverdracht | Knippen, kopiëren en plakken toestaan voor | Elke bestemming en elke bron | Windows |
| Gegevensoverdracht | Toetsenborden van derden | Toestaan | iOS/iPadOS |
| Gegevensoverdracht | Goedgekeurde toetsenborden | Niet vereist | Android |
| Gegevensoverdracht | Schermopname en Google Assistant | Toestaan | Android |
| Versleuteling | Organisatiegegevens versleutelen | Vereisen | iOS/iPadOS, Android |
| Versleuteling | Organisatiegegevens op geregistreerde apparaten versleutelen | Vereisen | Android |
| Functionaliteit | App synchroniseren met native contacten-app | Toestaan | iOS/iPadOS, Android |
| Functionaliteit | Organisatiegegevens afdrukken | Toestaan | iOS/iPadOS, Android, Windows |
| Functionaliteit | Webinhoudsoverdracht met andere apps beperken | Alle apps | iOS/iPadOS, Android |
| Functionaliteit | Meldingen over organisatiegegevens | Toestaan | iOS/iPadOS, Android |
Toegangsvereisten
| Instelling | Waarde | Platform | Opmerkingen |
|---|---|---|---|
| Pincode voor toegang | Vereisen | iOS/iPadOS, Android | |
| Type pincode | Numeriek | iOS/iPadOS, Android | |
| Eenvoudige pincode | Toestaan | iOS/iPadOS, Android | |
| Minimale lengte pincode selecteren | 4 | iOS/iPadOS, Android | |
| Touch ID in plaats van pincode voor toegang (iOS 8+/iPadOS) | Toestaan | iOS/iPadOS | |
| Biometrie overschrijven met pincode na time-out | Vereisen | iOS/iPadOS, Android | |
| Time-out (minuten activiteit) | 1440 | iOS/iPadOS, Android | |
| Face ID in plaats van pincode voor toegang (iOS 11+/iPadOS) | Toestaan | iOS/iPadOS | |
| Biometrie in plaats van pincode voor toegang | Toestaan | iOS/iPadOS, Android | |
| Pincode opnieuw instellen na aantal dagen | Nee | iOS/iPadOS, Android | |
| Het aantal vorige pincodewaarden selecteren dat u wilt behouden | 0 | Android | |
| App-pincode wanneer de pincode van het apparaat is ingesteld | Vereisen | iOS/iPadOS, Android | Als het apparaat is ingeschreven bij Intune, kunnen beheerders overwegen dit in te stellen op 'Niet vereist' als ze een sterke pincode voor het apparaat afdwingen via een nalevingsbeleid voor apparaten. |
| Referenties voor een werk- of schoolaccount voor toegang | Niet vereist | iOS/iPadOS, Android | |
| Toegangsvereisten opnieuw controleren na (minuten van inactiviteit) | 30 | iOS/iPadOS, Android |
Voorwaardelijk starten
| Instelling | Beschrijving van instelling | Waarde / Actie | Platform | Opmerkingen |
|---|---|---|---|---|
| App-voorwaarden | Maximale aantal pincodepogingen | 5 / Pincode opnieuw instellen | iOS/iPadOS, Android | |
| App-voorwaarden | Offline respijtperiode | 10080 / Toegang blokkeren (in minuten) | iOS/iPadOS, Android, Windows | |
| App-voorwaarden | Offline respijtperiode | 90 / Gegevens wissen (dagen) | iOS/iPadOS, Android, Windows | |
| Apparaatomstandigheden | Gejailbreakte/geroote apparaten | N.v.t. / Toegang blokkeren | iOS/iPadOS, Android | |
| Apparaatomstandigheden | SafetyNet-apparaatattestatie | Basisintegriteit en gecertificeerde apparaten / Toegang blokkeren | Android | Met deze instelling configureert u de apparaatintegriteitscontrole van Google Play op apparaten van eindgebruikers. Met basisintegriteit wordt de integriteit van het apparaat gevalideerd. Geroote apparaten, emulators, virtuele apparaten en apparaten die tekenen van manipulatie vertonen, falen in de basisintegriteit. Basisintegriteit en gecertificeerde apparaten valideren de compatibiliteit van het apparaat met de services van Google. Alleen niet-gewijzigde apparaten die zijn gecertificeerd door Google kunnen deze controle doorstaan. |
| Apparaatomstandigheden | Bedreigingsscan vereisen voor apps | N.v.t. / Toegang blokkeren | Android | Deze instelling zorgt ervoor dat de Google-scan voor Apps verifiëren is ingeschakeld voor apparaten van eindgebruikers. Indien geconfigureerd, wordt de eindgebruiker geblokkeerd voor toegang totdat hij het scannen van Google-apps op zijn Android-apparaat inschakelt. |
| Apparaatomstandigheden | Max toegestaan apparaatdreigingsniveau | Toegang laag/Blokkeer | Windows | |
| Apparaatomstandigheden | Apparaatvergrendeling vereisen | Laag/Waarschuwen | Android | Deze instelling zorgt ervoor dat Android-apparaten een apparaatwachtwoord hebben dat voldoet aan de minimale wachtwoordvereisten. |
Opmerking
Instellingen voor voorwaardelijk starten van Windows worden aangeduid als statuscontroles.
Niveau 2 Verbeterde gegevensbescherming voor ondernemingen
Niveau 2 is de configuratie voor gegevensbeveiliging die als standaard wordt aanbevolen voor apparaten waarop gebruikers toegang hebben tot gevoeligere informatie. Deze apparaten zijn tegenwoordig een natuurlijk doelwit in ondernemingen. Bij deze aanbevelingen wordt niet uitgegaan van een grote staf van hoogopgeleide beveiligingsmedewerkers en deze zouden daarom voor de meeste ondernemingen toegankelijk moeten zijn. Deze configuratie is een uitbreiding op de configuratie in niveau 1. Het beperkt scenario's voor gegevensoverdracht en vereist een minimale versie van het besturingssysteem.
Belangrijk
De beleidsinstellingen die in niveau 2 worden afgedwongen, omvatten alle beleidsinstellingen die voor niveau 1 worden aanbevolen. Niveau 2 bevat echter alleen de instellingen die zijn toegevoegd of gewijzigd om meer besturingselementen en een geavanceerdere configuratie dan niveau 1 te implementeren. Deze instellingen hebben mogelijk een iets groter effect op gebruikers of toepassingen. Ze dwingen een niveau van gegevensbescherming af dat dichter bij de risico's ligt waarmee gebruikers worden geconfronteerd met toegang tot gevoelige informatie op mobiele apparaten.
Gegevensbescherming
| Instelling | Beschrijving van instelling | Waarde | Platform | Opmerkingen |
|---|---|---|---|---|
| Gegevensoverdracht | Maak een back-up van organisatiegegevens om... | Blokkeren | iOS/iPadOS, Android | |
| Gegevensoverdracht | Organisatiegegevens verzenden naar andere apps | Door beleid beheerde apps | iOS/iPadOS, Android | Met iOS/iPadOS kunnen beheerders deze waarde configureren als 'Door beleid beheerde apps', 'Door beleid beheerde apps met besturingssysteem delen' of 'Door beleid beheerde apps met Open-In/Share-filtering'. Door beleid beheerde apps met besturingssysteem delen zijn beschikbaar als het apparaat ook is geregistreerd bij Intune. Met deze instelling kunnen gegevens worden overgedragen naar andere door beleid beheerde apps en bestandsoverdrachten naar andere apps die worden beheerd door Intune. Door beleid beheerde apps met filters voor Openen/Delen filteren de dialoogvensters voor openen/delen van het besturingssysteem zodanig dat alleen door beleid beheerde apps worden weergegeven. Zie Instellingen voor beveiligingsbeleid voor iOS-apps voor meer informatie. |
| Gegevensoverdracht | Gegevens verzenden naar | Geen bestemmingen | Windows | |
| Gegevensoverdracht | Gegevens ontvangen van | Geen bronnen | Windows | |
| Gegevensoverdracht | Selecteer apps die u wilt uitsluiten | Standaard / skype; app-instellingen; Calshow; itms; itmss; itms-apps; itms-appss; itms-diensten; | iOS/iPadOS | |
| Gegevensoverdracht | Kopieën van organisatiegegevens opslaan | Blokkeren | iOS/iPadOS, Android | |
| Gegevensoverdracht | Gebruikers toestaan kopieën op te slaan in geselecteerde services | OneDrive voor Bedrijven, SharePoint, Fotobibliotheek | iOS/iPadOS, Android | |
| Gegevensoverdracht | Breng telecommunicatiegegevens over naar | Elke kiezer-app | iOS/iPadOS, Android | |
| Gegevensoverdracht | Knippen, kopiëren en plakken tussen apps beperken | Door beleid beheerde apps met plakken erin | iOS/iPadOS, Android | |
| Gegevensoverdracht | Knippen, kopiëren en plakken toestaan voor | Geen bestemming of bron | Windows | |
| Gegevensoverdracht | Schermopname en Google Assistant | Blokkeren | Android | |
| Functionaliteit | Webinhoudsoverdracht met andere apps beperken | Microsoft Edge | iOS/iPadOS, Android | |
| Functionaliteit | Meldingen over organisatiegegevens | Organisatiegegevens blokkeren | iOS/iPadOS, Android | Zie Instellingen voor beveiligingsbeleid voor iOS-apps en Instellingen voor beveiligingsbeleid voor Android-apps voor een lijst met apps die deze instelling ondersteunen. |
Voorwaardelijk starten
| Instelling | Beschrijving van instelling | Waarde / Actie | Platform | Opmerkingen |
|---|---|---|---|---|
| App-voorwaarden | Account uitgeschakeld | N.v.t. / Toegang blokkeren | iOS/iPadOS, Android, Windows | |
| App-voorwaarden | Offline respijtperiode | 30 / Gegevens wissen (dagen) | iOS/iPadOS, Android, Windows | |
| Apparaatomstandigheden | Minimale versie van besturingssysteem |
Formaat: Major.Minor.Build Voorbeeld: 14.8 / Toegang blokkeren |
iOS/iPadOS | Microsoft raadt aan om de minimale primaire versie van iOS te configureren zodat deze overeenkomt met de ondersteunde iOS-versies voor Microsoft-apps. Microsoft-apps ondersteunen een N-1-benadering waarbij N de huidige primaire versie van iOS is. Voor secundaire waarden en waarden van de buildversie raadt Microsoft aan ervoor te zorgen dat apparaten zijn bijgewerkt met de desbetreffende beveiligingsupdates. Raadpleeg de beveiligingsupdates van Apple voor de meest recente aanbevelingen van Apple |
| Apparaatomstandigheden | Minimale versie van besturingssysteem |
Formaat: Major.Minor Voorbeeld: 9.0 / Toegang blokkeren |
Android | Microsoft raadt aan om de minimale primaire Android-versie te configureren zodat deze overeenkomt met de ondersteunde Android-versies voor Microsoft-apps. OEM's en apparaten die voldoen aan de door Android Enterprise aanbevolen vereisten moeten de huidige release + upgrade van één letter ondersteunen. Android beveelt momenteel Android 9.0 en hoger aan voor kenniswerkers. Zie de aanbevolen Android-vereisten voor Enterprise voor de meest recente aanbevelingen van Android |
| Apparaatomstandigheden | Minimale versie van besturingssysteem |
Indeling: Bouwen Voorbeeld: 10.0.26200.6899 / Toegang blokkeren |
Windows | Microsoft raadt aan om de minimale Windows-build te configureren zodat deze overeenkomt met de ondersteunde Windows-versies voor Microsoft-apps. Momenteel raadt Microsoft de volgende build aan:
|
| Apparaatomstandigheden | Minimale patchversie |
Formaat: JJJJ-MM-DD Voorbeeld: 2020-01-01 / Toegang blokkeren |
Android | Op Android-apparaten kunnen maandelijks beveiligingspatches worden uitgebracht, maar de release is afhankelijk van OEM's en/of providers. Organisaties moeten ervoor zorgen dat geïmplementeerde Android-apparaten beveiligingsupdates ontvangen voordat ze deze instelling implementeren. Zie Android-beveiligingsbulletins voor de nieuwste patchreleases. |
| Apparaatomstandigheden | Vereist SafetyNet-evaluatietype | Sleutel met hardwareback-up | Android | Met een door hardware ondersteunde attestation wordt de bestaande servicecontrole voor Play-integriteit van Google verbeterd door een nieuw evaluatietype op basis van hardware toe te passen. Het biedt een sterkere rootdetectie om nieuwere rooting-tools en -technieken aan te pakken die software-only oplossingen mogelijk niet betrouwbaar identificeren. Zoals de naam al aangeeft, maakt attestation met hardwareondersteuning gebruik van een hardwaregebaseerd onderdeel, dat wordt geleverd met apparaten met Android 8.1 en hoger. Apparaten die zijn bijgewerkt van een oudere versie van Android naar Android 8.1 hebben waarschijnlijk niet de op hardware gebaseerde componenten die nodig zijn voor door hardware ondersteunde attestation. Hoewel deze instelling breed ondersteund zou moeten worden vanaf apparaten die zijn geleverd met Android 8.1, raadt Microsoft ten zeerste aan apparaten afzonderlijk te testen voordat deze beleidsinstelling algemeen wordt ingeschakeld. |
| Apparaatomstandigheden | Apparaatvergrendeling vereisen | Toegang via medium/blokkering | Android | Deze instelling zorgt ervoor dat Android-apparaten een apparaatwachtwoord hebben dat voldoet aan de minimale wachtwoordvereisten. |
| Apparaatomstandigheden | Samsung Knox-apparaatattest | Toegang blokkeren | Android | Microsoft raadt aan om de instelling voor de verificatie van het Samsung Knox-apparaat te configureren op Toegang blokkeren om ervoor te zorgen dat het gebruikersaccount wordt geblokkeerd als het apparaat niet voldoet aan de op Knox-hardware gebaseerde verificatie van de apparaatstatus door Samsung. Met deze instelling wordt gecontroleerd of alle reacties van Intune MAM-clients op de service Intune zijn verzonden vanaf een gezond apparaat. Deze instelling is van toepassing op alle beoogde apparaten. Als u deze instelling alleen wilt toepassen op Samsung-apparaten, kunt u de toewijzingsfilters 'Beheerde apps' gebruiken. Zie Filters gebruiken bij het toewijzen van apps, beleid en profielen in Microsoft Intune voor meer informatie over toewijzingsfilters. |
Opmerking
Instellingen voor voorwaardelijk starten van Windows worden aangeduid als statuscontroles.
Hoge gegevensbescherming van niveau 3 voor ondernemingen
Niveau 3 is de configuratie voor gegevensbeveiliging die als standaard wordt aanbevolen voor organisaties met grote, geavanceerde beveiligingsorganisaties of voor specifieke gebruikers en groepen die het doelwit zijn van kwaadwillenden. Dergelijke organisaties zijn doorgaans het doelwit van goed gefinancierde en geavanceerde tegenstanders en verdienen als zodanig de beschreven extra beperkingen en controles. Deze configuratie is een uitbreiding op de configuratie in niveau 2 door extra scenario's voor gegevensoverdracht te beperken, de pincodeconfiguratie complexer te maken en mobiele dreigingsdetectie toe te voegen.
Belangrijk
De beleidsinstellingen die in niveau 3 worden afgedwongen, omvatten alle beleidsinstellingen die worden aanbevolen voor niveau 2, maar vermelden alleen de instellingen daaronder die zijn toegevoegd of gewijzigd om meer besturingselementen en een geavanceerdere configuratie dan niveau 2 te implementeren. Deze beleidsinstellingen kunnen een potentieel grote invloed hebben op gebruikers of toepassingen, waardoor een beveiligingsniveau wordt afgedwongen dat in verhouding staat tot de risico's waarmee organisaties worden geconfronteerd.
Gegevensbescherming
| Instelling | Beschrijving van instelling | Waarde | Platform | Opmerkingen |
|---|---|---|---|---|
| Gegevensoverdracht | Breng telecommunicatiegegevens over naar | Een door beleid beheerde dialer-app | Android | Beheerders kunnen deze instelling ook configureren voor het gebruik van een dialer-app die geen app-beveiligingsbeleid ondersteunt door een specifieke dialer-app te selecteren en de waarden voor Dialer App Package ID en Dialer App Name op te geven. |
| Gegevensoverdracht | Breng telecommunicatiegegevens over naar | Een specifieke kiezer-app | iOS/iPadOS | |
| Gegevensoverdracht | URL-schema voor kiezer-app | replace_with_dialer_app_url_scheme | iOS/iPadOS | Op iOS/iPadOS moet deze waarde worden vervangen door het URL-schema voor de aangepaste kiezer-app die wordt gebruikt. Als het URL-schema niet bekend is, neemt u contact op met de app-ontwikkelaar voor meer informatie. Zie Een aangepast URL-schema definiëren voor uw app voor meer informatie over URL-schema's. |
| Gegevensoverdracht | Gegevens ontvangen van andere apps | Door beleid beheerde apps | iOS/iPadOS, Android | |
| Gegevensoverdracht | Gegevens openen in organisatiedocumenten | Blokkeren | iOS/iPadOS, Android | |
| Gegevensoverdracht | Gebruikers toestaan gegevens van geselecteerde services te openen | OneDrive voor Bedrijven, SharePoint, Camera, Fotobibliotheek | iOS/iPadOS, Android | Zie Instellingen voor beveiligingsbeleid voor Android-apps en Instellingen voor beveiligingsbeleid voor iOS-apps. |
| Gegevensoverdracht | Toetsenborden van derden | Blokkeren | iOS/iPadOS | Op iOS/iPadOS voorkomt dit dat alle toetsenborden van derden in de app werken. |
| Gegevensoverdracht | Goedgekeurde toetsenborden | Vereisen | Android | |
| Gegevensoverdracht | Toetsenborden selecteren om goed te keuren | toetsenborden toevoegen/verwijderen | Android | Met Android moeten toetsenborden worden geselecteerd om te kunnen worden gebruikt op basis van uw geïmplementeerde Android-apparaten. |
| Functionaliteit | Organisatiegegevens afdrukken | Blokkeren | iOS/iPadOS, Android, Windows |
Toegangsvereisten
| Instelling | Waarde | Platform |
|---|---|---|
| Eenvoudige pincode | Blokkeren | iOS/iPadOS, Android |
| Minimale lengte pincode selecteren | 6 | iOS/iPadOS, Android |
| Pincode opnieuw instellen na aantal dagen | Ja | iOS/iPadOS, Android |
| Aantal dagen | 365 | iOS/iPadOS, Android |
| Klasse 3 Biometrie (Android 9.0+) | Vereisen | Android |
| Biometrie overschrijven met pincode na biometrische updates | Vereisen | Android |
Voorwaardelijk starten
| Instelling | Beschrijving van instelling | Waarde / Actie | Platform | Opmerkingen |
|---|---|---|---|---|
| Apparaatomstandigheden | Apparaatvergrendeling vereisen | Toegang hoog of geblokkeerd | Android | Deze instelling zorgt ervoor dat Android-apparaten een apparaatwachtwoord hebben dat voldoet aan de minimale wachtwoordvereisten. |
| Apparaatomstandigheden | Max toegestaan apparaatdreigingsniveau | Beveiligd / Toegang blokkeren | Windows | |
| Apparaatomstandigheden | Gejailbreakte/geroote apparaten | N.v.t./Gegevens wissen | iOS/iPadOS, Android | |
| Apparaatomstandigheden | Max toegestaan dreigingsniveau | Beveiligd / Toegang blokkeren | iOS/iPadOS, Android | Niet-ingeschreven apparaten kunnen worden geïnspecteerd op bedreigingen met Mobile Threat Defense. Zie Mobile Threat Defense voor niet-ingeschreven apparaten voor meer informatie. Als het apparaat is geregistreerd, kan deze instelling worden overgeslagen ten gunste van het implementeren van Mobile Threat Defense voor geregistreerde apparaten. Zie Mobile Threat Defense voor geregistreerde apparaten voor meer informatie. |
| Apparaatomstandigheden | Maximale versie van het besturingssysteem |
Formaat: Major.Minor Voorbeeld: 11.0 / Toegang blokkeren |
Android | Microsoft raadt aan om de maximale primaire versie van Android te configureren om ervoor te zorgen dat er geen bètaversies of niet-ondersteunde versies van het besturingssysteem worden gebruikt. Zie de aanbevolen Android-vereisten voor Enterprise voor de meest recente aanbevelingen van Android |
| Apparaatomstandigheden | Maximale versie van het besturingssysteem |
Formaat: Major.Minor.Build Voorbeeld: 15.0 / Toegang blokkeren |
iOS/iPadOS | Microsoft raadt aan om de maximale primaire versie van iOS/iPadOS te configureren om ervoor te zorgen dat er geen bètaversies of niet-ondersteunde versies van het besturingssysteem worden gebruikt. Raadpleeg de beveiligingsupdates van Apple voor de meest recente aanbevelingen van Apple |
| Apparaatomstandigheden | Maximale versie van het besturingssysteem |
Formaat: Major.Minor Voorbeeld: 22631. / Toegang blokkeren |
Windows | Microsoft raadt aan de maximale primaire versie van Windows te configureren om ervoor te zorgen dat er geen bètaversies of niet-ondersteunde versies van het besturingssysteem worden gebruikt. |
| Apparaatomstandigheden | Samsung Knox-apparaatattest | Gegevens wissen | Android | Microsoft raadt aan om de instelling voor de verificatie van het Samsung Knox-apparaat zodanig te configureren dat gegevens worden gewist om ervoor te zorgen dat de organisatiegegevens worden verwijderd als het apparaat niet voldoet aan de op Knox-hardware gebaseerde verificatie van de apparaatstatus door Samsung. Met deze instelling wordt gecontroleerd of alle reacties van Intune MAM-clients op de service Intune zijn verzonden vanaf een gezond apparaat. Deze instelling is van toepassing op alle apparaten waarop de doelgroep is gericht. Als u deze instelling alleen wilt toepassen op Samsung-apparaten, kunt u de toewijzingsfilters 'Beheerde apps' gebruiken. Zie Filters gebruiken bij het toewijzen van apps, beleid en profielen in Microsoft Intune voor meer informatie over toewijzingsfilters. |
Volgende stappen
Beheerders kunnen de bovenstaande configuratieniveaus opnemen in hun ringimplementatiemethodologie voor test- en productiegebruik door de JSON-sjablonen van het Configuration Framework van het Configuratieframework van het Intune-app-beveiligingsbeleid te importeren met PowerShell-scripts van Intune.