BYOD of bedrijfstoestel: mobiele apparaten veilig beheren met Intune

Voor de meeste medewerkers is de smartphone het apparaat waarop ze als eerste hun mail lezen, in Teams reageren en een document openen. Toch is mobiel beheer vaak minder doordacht ingericht dan het beheer van laptops. Oprichter Stefan Dingemanse is al zeven jaar Microsoft MVP, in zowel Security (Intune) als Windows and Devices (Windows 365), en Microsoft Certified Trainer. Bij organisaties van 100 tot ruim 1000 medewerkers hoort hij vaak dezelfde vraag: beheren we het hele toestel, of alleen de zakelijke apps en gegevens?

In dit artikel zetten wij de opties in Microsoft Intune op een rij, laten we zien waar het vaak misgaat en geven we een korte beslishulp.

Begin bij de eigendomsvraag

Elke keuze begint bij één vraag: van wie is het toestel? Een bedrijfstoestel mag u volledig beheren. Bij een privétoestel (BYOD, bring your own device) ligt dat anders. De medewerker wil niet dat de werkgever meekijkt, en dat is ook niet nodig.

Intune is daar duidelijk over. Volgens Microsoft kan uw organisatie op een ingeschreven toestel nooit de bel- en browsergeschiedenis, mail en berichten, contacten, agenda, wachtwoorden, foto’s of de inhoud van eigen documenten zien. De locatie van een privétoestel ziet de organisatie evenmin, en van de apps doorgaans alleen de beheerde zakelijke apps.

Wat er verder zichtbaar is, hangt af van de manier van inschrijven. Bij volledige device enrollment ziet de organisatie onder meer toestelmodel, serienummer, IMEI en de laatste vier cijfers van het telefoonnummer. Bij account driven user enrollment op iPhone en iPad verzamelt Intune geen serienummer, IMEI of telefoonnummer, en geen apps buiten het aparte zakelijke volume. Leg dit uit aan uw medewerkers. Dat neemt veel weerstand weg.

MDM of MAM: toestel of gegevens beschermen

Intune kent twee manieren om mobiele apparaten te beschermen.

MDM (mobile device management) betekent dat het toestel wordt ingeschreven in Intune. U levert apps uit, stelt wifi, VPN en certificaten in, controleert met compliancebeleid of het toestel aan uw eisen voldoet en kunt het toestel zo nodig volledig wissen.

MAM (mobile app management) werkt met App Protection Policies. Die beschermen de zakelijke gegevens in de app zelf, ook zonder dat het toestel is ingeschreven. Denk aan een pincode voor de app, het blokkeren van opslaan naar privéopslag, het beperken van kopiëren en plakken naar onbeheerde apps en het blokkeren van apps op gejailbreakte of geroote toestellen. Het beleid geldt alleen in de zakelijke context. Bij vertrek of verlies wist u met een selectieve wipe alleen de bedrijfsgegevens uit de app, zonder de app of privégegevens te verwijderen.

MAM zonder inschrijving heeft wel grenzen. U kunt geen apps uitleveren (de gebruiker haalt ze zelf uit de store) en geen certificaten, wifi of VPN instellen. De twee modellen sluiten elkaar niet uit: een bedrijfstelefoon met MDM én App Protection Policies, naast een privétablet met alleen App Protection Policies, is een gangbare combinatie.

iPhone en iPad: de inschrijvingsopties

Bedrijfstoestellen schrijft u bij voorkeur in met Automated Device Enrollment (ADE) via Apple Business Manager. Toestellen worden bij het eerste opstarten automatisch ingeschreven en supervised. Supervisie is nodig voor de zwaardere beperkingen, zoals het blokkeren van de App Store. Let op: supervisie achteraf aanzetten kan niet via Intune, alleen met Apple Configurator, en dat reset het toestel. Toestellen die niet via Apple Business Manager zijn gekocht, kunt u met Apple Configurator inschrijven.

Privétoestellen hebben twee routes naast MAM zonder inschrijving:

• Account driven user enrollment: zakelijke gegevens staan op een apart volume en in beheerde apps, gescheiden van privégegevens. Supervisie is niet mogelijk en de beheeropties zijn beperkt. Wifi en certificaten kunt u wel uitrollen, VPN alleen per app (per-app VPN). Combineer deze route met App Protection Policies, zoals Microsoft aanbeveelt.
• Device enrollment (via de Company Portal-app of via het web): het hele toestel wordt beheerd. Dat is ingrijpender voor een privétoestel.

Android Enterprise: vier smaken

Intune ondersteunt voor Android vier Android Enterprise-scenario’s:

• Fully managed: bedrijfstoestel met één gebruiker, alleen voor zakelijk gebruik.
• Dedicated: bedrijfstoestel zonder vaste gebruiker, bijvoorbeeld een scanner of kiosk.
• Corporate-owned work profile: bedrijfstoestel met een gescheiden werkprofiel, privégebruik toegestaan.
• Personally-owned work profile: privétoestel met een werkprofiel. Privé-apps en -gegevens blijven daarbuiten.

Android device administrator is verouderd en niet meer beschikbaar voor toestellen met Google Mobile Services. Blokkeer deze inschrijving met een inschrijvingsbeperking (enrollment restriction).

Conditional Access als poortwachter

Beleid op het toestel of in de app is pas effectief als toegang ervan afhangt. Microsoft adviseert daarom App Protection Policies te combineren met Conditional Access. De relevante grant controls:

• Require device to be marked as compliant: alleen toestellen die in Intune aan uw compliancebeleid voldoen, krijgen toegang. Dit past bij beheerde bedrijfstoestellen.
• Require app protection policy: alleen apps waarop een App Protection Policy actief is, krijgen toegang. Dit past bij privétoestellen.
• Require approved client app: deze control is sinds 30 juni 2026 alleen-lezen. Bestaande policies worden nog afgedwongen, maar u kunt ze niet meer aanpassen, alleen nog uitschakelen of verwijderen. Voor nieuwe policies gebruikt u alleen Require app protection policy.

Met “Require one of the selected controls” combineert u controls als een OF-voorwaarde, bijvoorbeeld een compliant toestel óf een beschermde app. Blokkeer daarnaast toegang vanaf onbekende of niet-ondersteunde platforms.

Veelgemaakte fouten

1. Modellen mengen zonder beleid. Bedrijfstoestellen, privétoestellen en externe medewerkers lopen door elkaar, zonder vastgelegde keuze per groep. Het resultaat is een verzameling uitzonderingen die niemand meer overziet.

2. De App Store blokkeren zonder aanvraagproces. Op supervised iPhones met apps die per toestel zijn gelicentieerd via Apple Business Manager, lopen installatie en updates uitsluitend via Intune. Licenties per gebruiker vereisen juist toegang tot de App Store en werken niet als die is geblokkeerd. Gevolg: alledaagse apps, zoals een parkeer- of OV-app, hebben geen route.

Vaak volgt dan het voorstel om “het beleid te verlagen”. Dat raakt bijna nooit één instelling, maar het hele licentie- en inschrijvingsmodel. Een persoonlijk Apple Account in de App Store toestaan doorbreekt de scheiding tussen zakelijk en privé, en de App Store vrijgeven laat alle controle op geïnstalleerde apps los.

Beter is een expliciete keuze: strikt zakelijk met een snel aanvraagproces voor apps, of zakelijk met bewust toegestaan privégebruik, gecompenseerd met App Protection Policies en Conditional Access.

3. MAM-beleid zonder onderscheid naar beheerstatus. Een App Protection Policy die u toewijst zonder de beheerstatus van het toestel te kiezen, geldt zowel op het privétoestel als op het beheerde bedrijfstoestel. Dan is niet meer duidelijk welke regels waar gelden. Richt het beleid in op beheerstatus en controleer of het aansluit op uw Conditional Access.

4. Geen scheiding tussen zakelijk en privé. Regelmatig komen wij privétoestellen tegen die met de volledige Outlook-app bij de mail kunnen zonder App Protection Policy. Zakelijke mail en bijlagen kunnen dan lokaal worden opgeslagen of in privé-apps terechtkomen.

5. Niemand is eigenaar van de levenscyclus. Wie koopt het toestel, registreert het in Apple Business Manager, regelt verlies en diefstal en zorgt bij uitdiensttreding voor een selectieve of volledige wipe? Zonder eigenaar gaat dit mis. Leg daarnaast in een gebruikersbeleid vast wat IT wel en niet kan zien, test de selectieve wipe en betrek uw privacy officer.

Beslishulp

Twijfelt u tussen twee regels? Kies het lichtste model dat uw gegevens voldoende beschermt. Hoe minder u op een privétoestel beheert, hoe groter de acceptatie.

Hoe wij kunnen helpen

Binnen onze consultancy richten wij Intune en Entra ID in voor uw mobiele apparaten en ontwerpen wij de Conditional Access-policies die toegang afdwingen. Dat valt onder de pijlers Modern Workplace en Identity Protection. Wij helpen u de keuze per doelgroep vast te leggen, de inschrijvingsroutes in te richten en de levenscyclus te beleggen.

Wilt u eerst weten hoe uw omgeving er nu voor staat? Met de Security Health Check meten wij de beveiliging van uw Microsoft 365-, Entra- en Intune-omgeving, inclusief Conditional Access en uw beheerde apparaten.

Plan een kennismaking

Bronnen

• Enrollment guide: Enroll Apple mobile devices in Microsoft Intune, Microsoft Learn
• Overview of Apple User Enrollment in Microsoft Intune, Microsoft Learn
• What information can my organization see when I enroll my device?, Microsoft Learn
• Migrate approved client app to application protection policy in Conditional Access, Microsoft Learn