Skradziony laptop z dysku którego nikt nie zaszyfrował to nie awaria sprzętu — to incydent danych. A im więcej firmy pracują hybrydowo, tym częściej okazuje się, że nikt tak naprawdę nie wie, gdzie są jej urządzenia i co na nich jest.
W MŚP temat „zarządzania urządzeniami" przez lata sprowadzał się do tego, że na biurku informatyka leżał ktoś, kto pamiętał, czyj jest który laptop. Dopóki firma miała 12 osób w jednym biurze, to działało. Kiedy zaczyna być 25, 35, 50 ludzi, część w domu, część u klienta, część na kontraktach — ten model przestaje się składać. I wtedy pojawia się pytanie o MDM.
MDM (Mobile Device Management, choć dziś dotyczy też laptopów) to po prostu narzędzie, które pozwala centralnie konfigurować i kontrolować firmowe urządzenia. W świecie Microsoftu nazywa się Intune i jest częścią pakietu Microsoft 365 Business Premium — czyli czegoś, co i tak ma większość firm korzystających z Office'a w wersji biznesowej.
Co MDM właściwie robi
Łatwiej zacząć od tego, czego MDM nie jest. To nie jest antywirus (to robi EDR), nie jest backupem (to robi inny system) i nie jest narzędziem do podglądania pracowników. To narzędzie do tego, żeby firma miała techniczną pewność, że jej urządzenia są skonfigurowane tak, jak chciała, niezależnie od tego, gdzie te urządzenia się znajdują.
W praktyce MDM pozwala na cztery konkretne rzeczy:
- Wymuszanie konfiguracji — szyfrowanie dysku (BitLocker), blokada ekranu po 5 minutach, minimalna długość hasła, wyłączenie portów USB tam, gdzie nie są potrzebne.
- Dystrybucję aplikacji — kiedy do firmy dochodzi nowa osoba, dostaje laptopa, na którym po pierwszym logowaniu sam się instaluje Office, Teams, przeglądarka, VPN i to, czego dany dział potrzebuje. Bez kogoś, kto siedzi 4 godziny i klika „Dalej".
- Conditional access — do firmowej poczty czy SharePointa można się dostać tylko z urządzenia, które jest zarządzane i spełnia wymogi (zaszyfrowane, zaktualizowane, z włączonym MFA). Z prywatnego telefonu — nie.
- Zdalne wyczyszczenie urządzenia — jeśli laptop zniknie (kradzież, zostawienie w taksówce), administrator jednym kliknięciem kasuje dane firmowe. Bez biegania po policjantach z prośbą o odzyskanie sprzętu.
Kiedy MŚP naprawdę potrzebuje MDM
Nie każda firma musi to mieć od razu. Ale są trzy sygnały, że już czas.
Pierwszy — liczba urządzeń przekracza możliwość ich ręcznego ogarnięcia. Granica jest miękka, ale zwykle między 20 a 30 laptopami robi się trudno utrzymać porządek po jednej osobie. Druga rzecz to praca poza biurem — jeśli ponad jedna trzecia zespołu jest regularnie poza siedzibą, MDM przestaje być fanaberią. Trzecia to dane klientów lub regulacje — jeśli na laptopach żyją dane osobowe, dokumenty handlowe konkurujących klientów albo macie obowiązki z NIS2, ubezpieczenia cyber wymagają konkretnych kontroli, których bez MDM po prostu nie udowodnisz.
Jeśli żaden z tych warunków u Was nie zachodzi — spokojnie, MDM może poczekać. Nie warto wdrażać narzędzia po to, żeby je mieć na slajdzie.
Przypadek z agencji marketingowej
Konkretny przykład, z naszego podwórka. 28-osobowa agencja marketingowo-designerska z Warszawy: 35 laptopów (etatowi + freelancerzy z dłuższymi kontraktami), praca rozproszona między biurem, domem i u klientów. Przez lata radzili sobie „domowymi" metodami — informatyk znał na pamięć większość urządzeń, hasła administratorów były wszędzie te same, dyski nikt nie szyfrował.
Pewnego wieczora w październiku jeden z account executive'ów zostawił laptopa w bagażniku samochodu. Auto okradziono w nocy. Na dysku — niezaszyfrowanym — były materiały trzech klientów, w tym prezentacje strategiczne. Firma musiała powiadomić klientów, jeden projekt stanął na dwa tygodnie, było nieprzyjemnie. Realny koszt incydentu, łącznie ze stresem zespołu i jednym utraconym retainerem, mocno przewyższył to, co przez lata „zaoszczędzili" na nieinwestowaniu w zarządzanie urządzeniami.
Po incydencie wdrożyliśmy u nich Intune (był w cenie ich subskrypcji M365 Business Premium, której i tak używali — to ok. 28 zł na użytkownika miesięcznie). Konkretne efekty w ciągu trzech miesięcy:
- Szyfrowanie BitLocker wymuszone na wszystkich 35 laptopach w 6 tygodni.
- Czas konfiguracji nowego laptopa: z 4–5 godzin ręcznej pracy do 30 minut autoinstalacji (Autopilot + dystrybucja aplikacji).
- W marcu kolejny laptop „zaginął" u freelancera, który zniknął z radaru. Zdalne wyczyszczenie zajęło 20 minut. Konsekwencji dla klientów — żadnych.
- Onboarding nowego pracownika z perspektywy IT skrócił się z pół dnia do około 45 minut.
To nie jest spektakularne. To jest po prostu praca, której wcześniej nikt nie wykonywał, bo nie było jak.
Co zwykle idzie nie tak przy wdrożeniu
Intune wygląda w demie pięknie, ale wdrożenie ma kilka pułapek, w które MŚP wpadają regularnie.
Po pierwsze — chęć wymuszenia wszystkiego naraz. Włączacie pełen zestaw polityk pierwszego dnia, połowa zespołu nie może wydrukować, druga połowa nie loguje się do VPN, do informatyki ustawia się kolejka. Realnie wdrożenie idzie etapami: najpierw inwentaryzacja, potem szyfrowanie, potem reguły haseł, potem dopiero conditional access. Zwykle 2–3 miesiące dla 30–50 osób.
Po drugie — prywatne urządzenia bez polityki. Pracownicy odbierają firmową pocztę na prywatnych telefonach. Bez decyzji, czy te telefony mają być zarządzane (BYOD z profilem pracy) czy nie (zakaz dostępu), wdrożenie ma dziurę wielkości głównego ryzyka, przed którym mieliście się chronić.
Po trzecie — brak procesu offboardingu wpiętego w MDM. Nawet najlepsze MDM nie pomoże, jeśli po odejściu pracownika nikt nie wyłączy mu konta. Polecenie „wyczyść urządzenie" musi być w checkliście kadrowej, nie tylko w głowie informatyka.
Po czwarte — traktowanie MDM jako jednorazowego projektu. To nie jest „wdrożymy i koniec". Polityki trzeba przeglądać raz na kwartał, bo zmienia się Windows, zmieniają się aplikacje, zmieniają się ryzyka. Zarezerwuj sobie 2 godziny miesięcznie na utrzymanie.
Od czego zacząć w Twojej firmie
Zanim w ogóle zaczniesz porównywać narzędzia, odpowiedz na cztery pytania:
- Ile urządzeń faktycznie pracuje w firmie (z freelancerami i podwykonawcami)? Jeśli nie wiesz dokładnie, to już jest sygnał.
- Które z tych urządzeń przechowują dane klientów albo wewnętrzne dokumenty handlowe?
- Co się stanie, jeśli jutro jedno z nich zniknie — masz plan czy modlitwę?
- Jaki pakiet Microsoft 365 macie dziś? Jeżeli Business Premium, Intune już płacicie — wystarczy go skonfigurować. Jeśli Business Standard, dopłata to ok. 10–15 zł na użytkownika miesięcznie.
To nie jest decyzja, którą trzeba podjąć w tym tygodniu. Ale jeśli odpowiedź na pytanie trzecie brzmi „mam tylko nadzieję, że się nie stanie" — czas, żeby ktoś spokojnie usiadł i to z Wami rozłożył.
MDM nie powstrzyma kradzieży laptopa. Sprawi tylko, że ta kradzież nie zamieni się w incydent danych.