Stap 2: Apps toevoegen, configureren en beveiligen met Intune

De volgende stap bij het implementeren van Intune is het toevoegen en beveiligen van apps die toegang hebben tot organisatiegegevens.

Het beheren van toepassingen op apparaten in uw organisatie is een centraal onderdeel van een veilig en productief bedrijfsecosysteem. U kunt Microsoft Intune gebruiken om de apps te beheren die door het personeel van uw bedrijf worden gebruikt. Door apps te beheren, bepaalt u mede welke apps uw bedrijf gebruikt, evenals de configuratie en beveiliging van de apps. Deze functionaliteit wordt Mobile Application Management (MAM) genoemd. MAM in Intune is ontworpen om organisatiegegevens te beschermen op toepassingsniveau, inclusief aangepaste apps en Store-apps. App-beheer kan worden gebruikt op apparaten van de organisatie en persoonlijke apparaten. Bij gebruik met persoonlijke apparaten worden alleen organisatiegerelateerde toegang en gegevens beheerd. Dit type app-beheer wordt MAM genoemd zonder inschrijving of, vanuit het perspectief van de eindgebruiker, BYOD (Bring Your Own Device).

MAM-configuraties

Wanneer apps zonder beperkingen worden gebruikt, kunnen bedrijfs- en persoonlijke gegevens door elkaar lopen. Bedrijfsgegevens kunnen terechtkomen op locaties zoals persoonlijke opslag of worden overgebracht naar apps buiten uw bereik en leiden tot gegevensverlies. Een van de belangrijkste redenen om MAM te gebruiken zonder apparaatregistratie of Intune MDM + MAM is om de gegevens van uw organisatie te helpen beschermen.

Microsoft Intune ondersteunt twee MAM-configuraties:

• MAM zonder apparaatbeheer
• MAM met apparaatbeheer

MAM zonder apparaatbeheer

Met deze configuratie kunnen de apps van uw organisatie worden beheerd door Intune, maar worden de apparaten niet geregistreerd voor het beheren door Intune. Deze configuratie wordt gewoonlijk MAM genoemd zonder apparaatregistratie. IT-beheerders kunnen apps beheren met MAM met behulp van Intune-configuratie- en beveiligingsbeleid op apparaten die niet zijn geregistreerd bij Intune Mobile Device Management (MDM).

Mobile Application Management (MAM) is ideaal voor het beveiligen van organisatiegegevens op mobiele apparaten die door leden van uw organisatie worden gebruikt voor zowel persoonlijke als zakelijke taken. U wilt ervoor zorgen dat uw leden van uw organisatie productief kunnen zijn en tegelijkertijd gegevensverlies voorkomen, opzettelijk en onopzettelijk. U wilt ook bedrijfsgegevens beveiligen waartoe toegang is vanaf apparaten die niet door u worden beheerd. Met MAM kunt u de gegevens van uw organisatie in een toepassing beheren en beveiligen.

Voor BYOD-apparaten die niet zijn ingeschreven bij een MDM-oplossing kan app-beveiligingsbeleid helpen bij het beveiligen van bedrijfsgegevens op app-niveau. Er zijn echter enkele beperkingen waarmee u rekening moet houden, zoals:

• U kunt geen apps implementeren op het apparaat. De eindgebruiker moet de apps ophalen uit de Store.
• U kunt geen certificaatprofielen inrichten op deze apparaten.
• U kunt geen bedrijfs-Wi-Fi en VPN-instellingen inrichten op deze apparaten.

Zie Overzicht van App-beveiliging beleid voor meer informatie over app-beveiliging in Intune.

MAM met apparaatbeheer

Met deze configuratie kunnen de apps en apparaten van uw organisatie worden beheerd. Deze configuratie wordt gewoonlijk MAM + MDM genoemd. IT-beheerders kunnen apps beheren met MAM op apparaten die zijn geregistreerd bij Intune MDM.

Behalve MAM zorgt MDM ervoor dat het apparaat is beveiligd. U kunt bijvoorbeeld een pincode vereisen om toegang te krijgen tot het apparaat of u kunt beheerde apps implementeren op het apparaat. U kunt ook apps implementeren op apparaten via uw MDM-oplossing, zodat u meer controle hebt over app-beheer.

Het gebruik van MDM met app-beveiligingsbeleid kent extra voordelen en bedrijven kunnen app-beveiligingsbeleid met en zonder MDM tegelijkertijd gebruiken. Een lid van uw organisatie kan bijvoorbeeld zowel een telefoon hebben die is uitgegeven door het bedrijf als een eigen persoonlijke tablet. De telefoon van het bedrijf kan worden ingeschreven bij MDM en worden beveiligd door app-beveiligingsbeleid, terwijl het persoonlijke apparaat alleen wordt beveiligd door app-beveiligingsbeleid.

Op geregistreerde apparaten die gebruikmaken van een MDM-service, kan app-beveiligingsbeleid een extra beveiligingslaag toevoegen. Een gebruiker meldt zich bijvoorbeeld aan bij een apparaat met zijn of haar organisatiereferenties. Wanneer die organisatiegegevens worden gebruikt, bepalen beleidsregels voor app-beveiliging hoe de gegevens worden opgeslagen en gedeeld. Wanneer gebruikers zich aanmelden met hun persoonlijke identiteit, worden niet dezelfde beveiligingsopties (toegang en beperkingen) toegepast. Op deze manier heeft IT controle over organisatiegegevens, terwijl eindgebruikers de controle en privacy over hun persoonlijke gegevens behouden.

De MDM-oplossing voegt waarde toe door het volgende te bieden:

• Het apparaat wordt ingeschreven
• Implementeert de apps op het apparaat
• Zorgt voor doorlopende apparaatnaleving en -beheer

De App-beveiliging beleidsregels voegen het volgende toe:

• Bedrijfsgegevens helpen beschermen tegen lekken naar apps en services van consumenten
• Beperkingen zoals Opslaan als, Klembord of pincode toepassen op client-apps
• Bedrijfsgegevens uit apps verwijderen wanneer dat nodig is zonder deze apps van het apparaat te verwijderen

Voordelen van MAM met Intune

Wanneer apps worden beheerd in Intune, kunnen beheerders het volgende doen:

• Beveilig bedrijfsgegevens op app-niveau. U kunt mobiele apps toevoegen en toewijzen aan gebruikersgroepen en apparaten. Hiermee kunnen uw bedrijfsgegevens op app-niveau worden beveiligd. U kunt bedrijfsgegevens beschermen op beheerde en niet-beheerde apparaten, omdat voor het beheer van mobiele apps geen apparaatbeheer nodig is. Het beheer is gericht op de gebruikersidentiteit, waardoor er geen apparaatbeheer meer nodig is.
• Configureer apps om te starten of uit te voeren met specifieke instellingen ingeschakeld. Daarnaast kunt u bestaande apps bijwerken die al op het apparaat staan.
• Wijs beleid toe om de toegang te beperken en te voorkomen dat gegevens buiten uw organisatie worden gebruikt. U kiest de instelling voor dit beleid op basis van de vereisten van uw organisatie. U kunt bijvoorbeeld:
  • Een pincode vereisen om een app in een werkcontext te openen.
  • Verhinderen dat beheerde apps worden uitgevoerd op apparaten die zijn opengebroken of geroot.
  • Het delen van gegevens tussen apps beheren.
  • Voorkomen dat bedrijfs-app-gegevens worden opgeslagen op een persoonlijke opslaglocatie door beleid voor het verplaatsen van gegevens te gebruiken, zoals Kopieën van organisatiegegevens opslaan en Knippen, kopiëren en plakken beperken.
• Ondersteun apps op verschillende platforms en besturingssystemen. Elk platform is anders. Intune biedt specifieke instellingen voor elk ondersteund platform.
• Bekijk rapporten over welke apps worden gebruikt en volg het gebruik ervan. Daarnaast biedt Intune eindpuntanalyses om u te helpen bij het beoordelen en oplossen van problemen.
• Selectief wissen door alleen organisatiegegevens uit apps te verwijderen.
• Zorg ervoor dat persoonlijke gegevens gescheiden worden gehouden van beheerde gegevens. Dit heeft geen invloed op de productiviteit van de eindgebruiker en beleid is niet van toepassing wanneer de app in een persoonlijke context wordt gebruikt. Het beleid wordt alleen toegepast in een werkcontext, waardoor u bedrijfsgegevens kunt beschermen zonder persoonlijke gegevens aan te raken.

Apps toevoegen aan Intune

De eerste stap bij het verstrekken van apps aan uw organisatie is het toevoegen van de apps aan Intune voordat u deze toewijst aan apparaten of gebruikers van Intune. Hoewel u met veel verschillende typen apps kunt werken, zijn de basisprocedures hetzelfde. Met Intune kunt u verschillende typen apps toevoegen, waaronder apps die intern zijn geschreven (line-of-business), apps uit de Store, ingebouwde apps en apps op het web.

De gebruikers van apps en apparaten in uw bedrijf (de werknemers van uw bedrijf) kunnen verschillende app-vereisten hebben. Voordat u apps toevoegt aan Intune en deze beschikbaar maakt voor uw werknemers, vindt u het mogelijk nuttig om enkele basisprincipes van apps te beoordelen en te begrijpen. Er zijn verschillende typen apps beschikbaar voor Intune. U moet de app-vereisten bepalen waaraan de gebruikers in uw bedrijf behoefte hebben, zoals de platforms en mogelijkheden die uw werknemers nodig hebben. U moet bepalen of u Intune wilt gebruiken om de apparaten (inclusief apps) te beheren of Intune de apps wilt laten beheren zonder de apparaten te beheren. U moet ook bepalen welke apps en mogelijkheden uw werknemers nodig hebben en wie ze nodig heeft. De informatie in dit artikel helpt u op weg.

Voordat u apps toevoegt aan Intune, kunt u overwegen de typen ondersteunings-apps te bekijken en uw app-vereisten te evalueren. Zie Apps toevoegen aan Microsoft Intune voor meer informatie.

Microsoft-apps toevoegen

Intune bevat een aantal Microsoft-apps op basis van de Microsoft-licentie die u voor Intune gebruikt. Zie Microsoft Intune-licenties voor Microsoft Intune voor meer informatie over de verschillende Microsoft Enterprise-licenties die beschikbaar zijn bij Intune. Als je de verschillende Microsoft-apps die beschikbaar zijn met Microsoft 365 wilt vergelijken, raadpleeg je de licentieopties die beschikbaar zijn met Microsoft 365. Als u alle opties voor elk abonnement wilt zien (inclusief de beschikbare Microsoft-apps), downloadt u de volledige vergelijkingstabel voor Microsoft-abonnementen en zoekt u de abonnementen waarbij Microsoft Intune zijn inbegrepen.

Een van de beschikbare app-typen is Microsoft 365-apps voor Windows-apparaten. Als u dit type app selecteert in Intune, kunt u Microsoft 365-apps toewijzen en installeren op apparaten die u beheert en waarop Windows wordt uitgevoerd. U kunt ook apps toewijzen en installeren voor de Microsoft Project Online-bureaubladclient en Microsoft Visio Online Plan 2, als u daar licenties voor hebt. De beschikbare Microsoft 365-apps worden weergegeven als één vermelding in de lijst met apps in de Intune-console in Azure.

Voeg de volgende Microsoft-basisapps toe aan Intune:

• Microsoft Edge
• Microsoft Excel
• Microsoft Office
• Microsoft OneDrive
• Microsoft OneNote
• Microsoft Outlook
• Microsoft PowerPoint
• Microsoft SharePoint
• Microsoft Teams
• Microsoft To Do
• Microsoft Word

Ga naar de volgende onderwerpen voor meer informatie over het toevoegen van Microsoft-apps aan Intune:

• Apps toevoegen aan Microsoft Intune
• Voeg Microsoft 365-apps toe aan Windows-apparaten met Microsoft Intune

Store-apps toevoegen (optioneel)

Veel van de standaard store-apps die worden weergegeven in de Intune-console, zijn gratis beschikbaar en kunnen worden toegevoegd en geïmplementeerd voor leden van uw organisatie. Daarnaast kunt u store-apps kopen voor elk apparaatplatform.

De volgende tabel bevat de verschillende categorieën die beschikbaar zijn voor Store-apps:

Ga naar de volgende onderwerpen voor meer informatie over het toevoegen van Microsoft-apps aan Intune:

• Microsoft Store-apps toevoegen aan Microsoft Intune
• iOS-store-apps toevoegen aan Microsoft Intune
• Android Store-apps toevoegen aan Microsoft Intune

Apps configureren met Intune

Met app-configuratiebeleid kunt u problemen met app-instellingen voorkomen doordat u configuratie-instellingen voor een beleid kunt selecteren. Dat beleid wordt vervolgens toegewezen aan eindgebruikers voordat ze een specifieke app uitvoeren. De instellingen worden vervolgens automatisch verstrekt wanneer de app op het apparaat van de eindgebruiker wordt geconfigureerd. Eindgebruikers hoeven geen actie te ondernemen. De configuratie-instellingen zijn uniek voor elke app.

U kunt app-configuratiebeleid maken en gebruiken om configuratie-instellingen op te geven voor zowel iOS-/iPadOS- als Android-apps. Met deze configuratie-instellingen kan een app worden aangepast met behulp van app-configuratie en -beheer. De instellingen voor configuratiebeleid worden gebruikt wanneer de app op deze instellingen controleert, meestal de eerste keer dat de app wordt uitgevoerd.

Voor een app-configuratie-instelling kan het bijvoorbeeld nodig zijn om een van de volgende gegevens op te geven:

• Een aangepast poortnummer
• Taalinstellingen
• Beveiligingsinstellingen
• Huisstijlinstellingen, zoals een bedrijfslogo

Als eindgebruikers deze instellingen in plaats daarvan zouden invoeren, zouden ze dit op de verkeerde manier kunnen doen. Beleidsregels voor app-configuratie kunnen helpen zorgen voor consistentie binnen een onderneming en het aantal helpdeskoproepen verminderen van eindgebruikers die zelf instellingen proberen te configureren. Door gebruik te maken van app-configuratiebeleidsregels kan de ingebruikname van nieuwe apps eenvoudiger en sneller verlopen.

De beschikbare configuratieparameters worden uiteindelijk bepaald door de ontwikkelaars van de app. Raadpleeg de documentatie van de leverancier van de toepassing om te controleren of een app configuratie ondersteunt en welke configuraties beschikbaar zijn. Voor sommige toepassingen vult Intune de beschikbare configuratie-instellingen.

Raadpleeg de volgende onderwerpen voor meer informatie over app-configuratie:

• Beleidsregels voor app-configuratie voor Microsoft Intune
• App-configuratiebeleidsregels toevoegen voor beheerde iOS-/iPadOS-apparaten
• Beleidsregels voor app-configuratie toevoegen voor beheerde Android Enterprise-apparaten

Microsoft Outlook configureren

De Outlook voor iOS- en Android-app is ontworpen om gebruikers in uw organisatie in staat te stellen meer te doen vanaf hun mobiele apparaten door e-mail, agenda, contactpersonen en andere bestanden samen te brengen.

De rijkste en breedste beveiligingsmogelijkheden voor Microsoft 365-gegevens zijn beschikbaar wanneer u zich abonneert op de Enterprise Mobility + Security suite, die Microsoft Intune en Microsoft Entra ID P1- of P2-functies bevat, zoals voorwaardelijke toegang. U wilt op zijn minst een beleid voor voorwaardelijke toegang implementeren waarmee connectiviteit met Outlook voor iOS en Android vanaf mobiele apparaten mogelijk is, en een Intune app-beveiligingsbeleid dat ervoor zorgt dat de samenwerkingservaring wordt beveiligd.

Zie het volgende onderwerp voor meer informatie over het configureren van Microsoft Outlook:

• Toegang tot samenwerking via berichten beheren met Outlook voor iOS en Android met Microsoft Microsoft Intune

Microsoft Edge configureren

Edge voor iOS en Android is ontworpen om gebruikers in staat te stellen op internet te surfen en ondersteunt meerdere identiteiten. Gebruikers kunnen een werkaccount en een persoonlijk account toevoegen om te bladeren. Er is een volledige scheiding tussen de twee identiteiten, net zoals wordt aangeboden in andere mobiele Microsoft-apps.

Zie het volgende onderwerp voor meer informatie over het configureren van Microsoft Edge:

• Microsoft Edge op iOS en Android beheren met Intune

VPN configureren

Met virtuele particuliere netwerken (VPN) hebben gebruikers op afstand toegang tot organisatiebronnen, waaronder vanuit huis, hotels, cafés en meer. In Microsoft Intune kunt u VPN-client-apps configureren op Android Enterprise-apparaten met behulp van app-configuratiebeleid. Implementeer vervolgens dit beleid met de bijbehorende VPN-configuratie op apparaten in uw organisatie.

U kunt ook VPN-beleid maken dat door specifieke apps wordt gebruikt. Deze functie wordt een app-overschrijdende VPN genoemd. Wanneer de app actief is, kan deze verbinding maken met de VPN en toegang krijgen tot bronnen via de VPN. Als de app niet actief is, wordt de VPN niet gebruikt.

Zie het volgende onderwerp voor meer informatie over het configureren van e-mail:

• Een VPN-beleid en VPN-beleid per app gebruiken op Android Enterprise-apparaten in Microsoft Intune

Apps beveiligen met Intune

App-beveiliging zijn regels die ervoor zorgen dat de gegevens van een organisatie veilig blijven of zich in een beheerde app bevinden. Een beleid kan een regel zijn die wordt afgedwongen wanneer de gebruiker 'zakelijke' gegevens probeert te openen of verplaatsen, of een reeks acties die zijn verboden of bewaakt wanneer de gebruiker zich in de app bevindt. Een beheerde app is een app waarop beveiligingsbeleid voor apps is toegepast en die kan worden beheerd door Intune.

Met het beveiligingsbeleid voor mobiele toepassingen (MAM) kunt u de gegevens van uw organisatie binnen een toepassing beheren en beveiligen. Veel productiviteitsapps, zoals de Microsoft Office-apps, kunnen worden beheerd door Intune MAM. Bekijk de officiële lijst met Microsoft Intune beveiligde apps die beschikbaar zijn voor openbaar gebruik.

Een van de belangrijkste manieren waarop Intune mobiele app-beveiliging biedt, is door middel van beleidsregels. Met App-beveiliging kunt u de volgende acties uitvoeren:

• Gebruik de Microsoft Entra-identiteit om organisatiegegevens te isoleren van persoonlijke gegevens. Persoonlijke gegevens worden dus geïsoleerd van het IT-bewustzijn van de organisatie. Gegevens die worden gebruikt met organisatiereferenties, krijgen extra beveiliging.
• Beveilig de toegang op persoonlijke apparaten door handelingen te beperken die gebruikers kunnen uitvoeren met organisatiegegevens, zoals kopiëren en plakken, opslaan en weergeven.
• Maken en implementeren op apparaten die zijn ingeschreven bij Intune, zijn ingeschreven bij een andere Mobile Device Management (MDM)-service of niet zijn geregistreerd bij een MDM-service.

Organisaties kunnen beveiligingsbeleid voor apps met en zonder MDM tegelijk gebruiken. Denk bijvoorbeeld aan een werknemer die zowel een tablet van het bedrijf als een eigen persoonlijke telefoon gebruikt. De bedrijfstablet is ingeschreven bij MDM en wordt beschermd door app-beveiligingsbeleid, terwijl de persoonlijke telefoon alleen wordt beveiligd door app-beveiligingsbeleid.

Ga naar de volgende onderwerpen voor meer informatie over app-beveiliging in Intune:

• Overzicht van app-beveiligingsbeleid
• Beveiligingsbeleid voor apps maken en toewijzen.

Beveiligingsniveaus voor apps

Naarmate meer organisaties strategieën voor mobiele apparaten implementeren voor toegang tot werk- of schoolgegevens, wordt bescherming tegen gegevenslekken van het grootste belang. De mobiele toepassingsbeheeroplossing van Intune voor beveiliging tegen gegevenslekken is app-beveiligingsbeleid. App-beveiliging zijn regels die ervoor zorgen dat de gegevens van een organisatie veilig blijven of in een beheerde app worden opgeslagen, ongeacht of het apparaat is geregistreerd.

Wanneer organisaties beveiligingsbeleid voor apps configureren, bieden de verschillende beschikbare instellingen en opties de mogelijkheid om de beveiliging aan te passen aan hun specifieke behoeften. Vanwege deze flexibiliteit is het mogelijk niet duidelijk welke permutatie van beleidsinstellingen vereist is om een volledig scenario te implementeren. Om organisaties te helpen bij het prioriteren van inspanningen voor het beveiligen van clienteindpunten, heeft Microsoft een nieuwe taxonomie geïntroduceerd voor beveiligingsconfiguraties in Windows en maakt Intune gebruik van een vergelijkbare taxonomie voor zijn APP-framework voor de beveiliging van APP-gegevens voor het beheer van mobiele apps.

Het configuratieframework voor APP-gegevensbeveiliging is georganiseerd in drie unieke configuratiescenario's:

• Niveau 1 Enterprise Basic-gegevensbescherming – Microsoft raadt deze configuratie aan als de minimale configuratie voor gegevensbeveiliging voor een bedrijfsapparaat.

• Niveau 2 Verbeterde gegevensbescherming voor ondernemingen – Microsoft raadt deze configuratie aan voor apparaten waarop gebruikers toegang hebben tot gevoelige of vertrouwelijke informatie. Deze configuratie is van toepassing op de meeste mobiele gebruikers die toegang hebben tot werk- of schoolgegevens. Sommige besturingselementen kunnen van invloed zijn op de gebruikerservaring.

• Niveau 3 Hoge gegevensbescherming voor ondernemingen: Microsoft raadt deze configuratie aan voor apparaten die worden beheerd door een organisatie met een groter of geavanceerder beveiligingsteam, of voor specifieke gebruikers of groepen die een uniek hoog risico lopen (gebruikers die omgaan met zeer gevoelige gegevens waarbij onbevoegde openbaarmaking aanzienlijke materiële schade voor de organisatie veroorzaakt). Een organisatie die waarschijnlijk het doelwit is van goed gefinancierde en geavanceerde tegenstanders, zou naar deze configuratie moeten streven.

Eenvoudige app-beveiliging (niveau 1)

Eenvoudige app-beveiliging in Intune (niveau 1) is de minimale configuratie voor gegevensbeveiliging voor een zakelijk mobiel apparaat. Deze configuratie vervangt de noodzaak van basisbeleid voor apparaattoegang tot Exchange Online door een pincode te vereisen voor toegang tot werk- of schoolgegevens, de werk- of schoolaccountgegevens te versleutelen en de mogelijkheid te bieden om de school- of werkgegevens selectief te wissen. In tegenstelling tot Exchange Online beleid voor apparaattoegang zijn de onderstaande instellingen voor app-beveiligingsbeleid van toepassing op alle apps die zijn geselecteerd in het beleid, waardoor de toegang tot gegevens ook buiten scenario's voor mobiele berichten wordt beschermd.

Het beleid op niveau 1 dwingt een redelijk niveau van gegevenstoegang af, minimaliseert de gevolgen voor gebruikers en weerspiegelt de standaardinstellingen voor gegevensbescherming en toegangsvereisten bij het maken van een beleid voor app-beveiliging in Microsoft Intune.

Ga naar het volgende onderwerp voor specifieke instellingen voor gegevensbeveiliging, toegangsvereisten en voorwaardelijk starten voor eenvoudige app-beveiliging:

• Niveau 1 Enterprise Basic-gegevensbescherming.

Verbeterde app-beveiliging (niveau 2)

Verbeterde app-beveiliging in Intune (niveau 2) is de configuratie voor gegevensbeveiliging die als standaard wordt aanbevolen voor apparaten waarop gebruikers toegang hebben tot gevoeligere informatie. Deze apparaten zijn tegenwoordig een natuurlijk doelwit in ondernemingen. Deze aanbevelingen gaan niet uit van een groot aantal hoogopgeleide beveiligingsmedewerkers en zouden daarom toegankelijk moeten zijn voor de meeste bedrijfsorganisaties. Deze configuratie is een uitbreiding op de configuratie op niveau 1 door scenario's voor gegevensoverdracht te beperken en een minimale versie van het besturingssysteem te vereisen.

De beleidsinstellingen die in niveau 2 worden afgedwongen, omvatten alle beleidsinstellingen die worden aanbevolen voor niveau 1, maar vermelden alleen de instellingen hieronder die zijn toegevoegd of gewijzigd om meer besturingselementen en een geavanceerdere configuratie dan niveau 1 te implementeren. Hoewel deze instellingen mogelijk een iets grotere impact hebben op gebruikers of toepassingen, dwingen ze een niveau van gegevensbescherming af dat meer in verhouding staat tot de risico's waarmee gebruikers worden geconfronteerd als zij toegang hebben tot gevoelige informatie op mobiele apparaten.

Ga naar het volgende onderwerp voor specifieke instellingen voor gegevensbescherming en voorwaardelijk starten voor uitgebreide app-beveiliging:

• Niveau 2 Verbeterde gegevensbescherming voor ondernemingen.

Hoge app-beveiliging (niveau 3)

Hoge app-beveiliging voor Intune (niveau 3) is de configuratie voor gegevensbeveiliging die als standaard wordt aanbevolen voor organisaties met grote, geavanceerde beveiligingsorganisaties of voor specifieke gebruikers en groepen die het doelwit zijn van kwaadwillenden. Dergelijke organisaties zijn doorgaans het doelwit van goed gefinancierde en geavanceerde tegenstanders en verdienen als zodanig de beschreven extra beperkingen en controles. Deze configuratie is een uitbreiding op de configuratie in niveau 2 door extra scenario's voor gegevensoverdracht te beperken, de pincodeconfiguratie complexer te maken en mobiele dreigingsdetectie toe te voegen.

De beleidsinstellingen die in niveau 3 worden afgedwongen, omvatten alle beleidsinstellingen die worden aanbevolen voor niveau 2, maar vermelden alleen de instellingen daaronder die zijn toegevoegd of gewijzigd om meer besturingselementen en een geavanceerdere configuratie dan niveau 2 te implementeren. Deze beleidsinstellingen kunnen een potentieel grote invloed hebben op gebruikers of toepassingen, waardoor een beveiligingsniveau wordt afgedwongen dat in verhouding staat tot de risico's waarmee organisaties worden geconfronteerd.

Ga naar het volgende onderwerp voor specifieke instellingen voor gegevensbeveiliging, toegangsvereisten en voorwaardelijk starten voor eenvoudige app-beveiliging:

• Hoge gegevensbescherming voor ondernemingen van niveau 3.

Beveilig Exchange Online e-mail op beheerde apparaten

U kunt nalevingsbeleid voor apparaten met voorwaardelijke toegang gebruiken om ervoor te zorgen dat de apparaten van uw organisatie alleen toegang hebben tot e-mail van Exchange Online als ze worden beheerd door Intune en met een goedgekeurde e-mail-app. U kunt een nalevingsbeleid voor apparaten van Intune maken om de voorwaarden in te stellen waaraan een apparaat moet voldoen om als compatibel te worden beschouwd. U kunt ook een beleid voor voorwaardelijke toegang van Microsoft Entra maken waarvoor apparaten moeten worden ingeschreven bij Intune, moeten voldoen aan het beleid van Intune en de goedgekeurde mobiele app van Outlook moeten worden gebruikt voor toegang tot e-mail van Exchange Online.

Zie het volgende onderwerp voor meer informatie over het beveiligen van Exchange Online:

• Zelfstudie: e-mail van Exchange Online beveiligen op beheerde apparaten

Vereisten voor eindgebruikers voor het gebruik van app-beveiligingsbeleid

In de volgende lijst vindt u de volgende vereisten voor eindgebruikers voor het gebruik van app-beveiligingsbeleid voor apps die worden beheerd door Intune:

• De eindgebruiker moet een Microsoft Entra-account hebben. Zie Gebruikers toevoegen en beheerdersmachtigingen verlenen aan Intune voor meer informatie over het maken van Intune-gebruikers in Microsoft Entra ID.
• De eindgebruiker moet een licentie voor Microsoft Intune toegewezen hebben aan zijn of haar Microsoft Entra-account. Zie Intune licenties beheren voor informatie over het toewijzen van Intune licenties aan eindgebruikers.
• De eindgebruiker moet deel uitmaken van een beveiligingsgroep waarop een app-beveiligingsbeleid is gericht. Hetzelfde app-beveiligingsbeleid moet gericht zijn op de specifieke app die wordt gebruikt. Beleid voor App-beveiliging kan worden gemaakt en geïmplementeerd in het Microsoft Intune-beheercentrum. Beveiligingsgroepen kunnen momenteel worden gemaakt in het Microsoft 365-beheercentrum.
• De eindgebruiker moet zich aanmelden bij de app met zijn of haar Microsoft Entra-account.

Volg het minimaal aanbevolen basislijnbeleid

Dit artikel maakt deel uit van een reeks van vijf stappen waarin wordt beschreven hoe u Microsoft Intune implementeert. De reeks bevat de volgende artikelen, in deze volgorde:

1. Een Microsoft Intune instellen
2. 🡺 Apps toevoegen, configureren en beveiligen (dit artikel)
3. Plannen voor nalevingsbeleid
4. Apparaatfuncties configureren
5. Apparaten registreren