Een goede Intune-policy begint niet met een instelling
Je ontwerpt een policy, een set instellingen waarmee je bepaalt hoe een device binnen je organisatie moet worden ingericht en beveiligd. Vervolgens geef je hem een naam volgens een vaste conventie en zet je hem in de juiste ring. In de portal ziet het er al snel overzichtelijk uit. Assignment staat goed, uitzonderingen zijn ingericht en de configuratie is netjes gedocumenteerd. Klaar, zou je zeggen.
Totdat je moet weten wat er écht gebeurt
Bijvoorbeeld wanneer een manager ineens vraagt welke policy eigenlijk verantwoordelijk is voor een bepaalde instelling. Of wanneer je na een wijziging ineens moet uitzoeken welke groep apparaten de nieuwe configuratie heeft gekregen. Dan merk je dat goed Intune-beleid ontwerpen meer is dan de juiste vinkjes zetten.
Hoe weet je over een half jaar nog wat deze policy doet?
Als je Intune al wat langer beheert, herken je vast wel het volgende: de omgeving groeit en policies groeien mee. Er komt een nieuwe beveiligingsmaatregel bij, een uitzondering voor een specifieke groep gebruikers en later nog een policy omdat een eerdere configuratie niet helemaal meer past.
“Een goede Intune-policy gaat niet over zoveel mogelijk instellingen. Het gaat erom dat je vooraf weet waarom je iets instelt, voor wie het geldt en wat er gebeurt als je later iets wilt veranderen.”
Joost Gelijsteen – Microsoft MVP Intune & Windows
En soms verandert er iets anders…
Er komt bijvoorbeeld een nieuwe manager die net anders naar security of device management kijkt. Ineens krijg je vragen: waarom hebben we dit eigenlijk zo ingericht? Waarom geldt deze policy voor deze groep? En kan het misschien anders? Iedere keuze afzonderlijk lijkt logisch. Maar na verloop van tijd is het resultaat een verzameling van policies waarvan niet meer direct duidelijk is waarom ze bestaan, voor wie ze gelden en welke instellingen elkaar beïnvloeden.
De rol van naamgeving
Naamgeving speelt daarin een grotere rol dan je misschien denkt. Een naam als “Test policy” of “Internet Explorer” zegt weinig als je maanden later moet bepalen of een policy nog relevant is. Een duidelijke naamgevingsconventie maakt zichtbaar wat een policy doet, op wie hij van toepassing is en eventueel in welke fase van een rollout hij zit.
Het is een vorm van controle. Maar die controle heb je ook nodig bij het uitrollen van wijzigingen.
Eerst klein uitrollen, dan verder kijken
Ook deployment rings zijn belangrijker dan ze op het eerste gezicht lijken. Je wilt een wijziging niet direct naar honderden of duizenden apparaten sturen zonder eerst te weten wat er gebeurt. Begin bijvoorbeeld bij de IT-afdeling, daarna een kleine groep vrijwilligers en vervolgens een grotere pilotgroep. Pas als je weet dat de wijziging goed landt, gaat hij breder. Zo krijg je niet alleen meer controle over de uitrol, maar ook de tijd om onverwachte gevolgen te ontdekken voordat ze de hele organisatie raken.
Een uitrol is niet meteen zichtbaar
En dan is er nog iets om rekening mee te houden: een wijziging hoeft niet direct zichtbaar te zijn op een device. Als je na een paar uur concludeert dat een policy niet werkt, terwijl het apparaat simpelweg nog niet heeft ingecheckt, ben je mogelijk een probleem aan het oplossen dat helemaal niet bestaat.
Tijdelijke uitzonderingen zijn vaak minder tijdelijk dan gedacht
Ook de achterkant van een rollout verdient aandacht. Een uitzondering die je vandaag toevoegt om een pilot mogelijk te maken, voelt tijdelijk. Maar als niemand later controleert of die uitzondering nog nodig is, kan hij maanden blijven staan. Dan heb je een policy die op papier correct is ingericht, maar waarvan een deel van de omgeving ongemerkt buiten de beveiligingsmaatregel valt.
Professioneel policy design betekent daarom ook nadenken over de levenscyclus van een policy. Waarom bestaat hij? Wie krijgt hem? Welke uitzonderingen zijn toegestaan? Wanneer wordt een wijziging geëvalueerd? En wanneer ruim je het geheel weer op?
Goed beleid geeft ruimte om te veranderen
Kortom, de beste Intune-omgeving is niet die met de meeste policies, maar die waarin je begrijpt waarom ze er zijn en wijzigingen gecontroleerd kunt doorvoeren. Goede naamgeving, duidelijke assignments en een gedisciplineerd ringmodel geven je die basis. Zo blijft Intune niet alleen vandaag overzichtelijk, maar ook als je omgeving verder groeit en verandert.
Terug naar Blogs
