Microsoft Intune ile Cihaz Yönetimi Başlangıç Kılavuzu

Hibrit çalışma modeli kurumsal güvenliğin önüne yeni bir soru koydu: Şirket verisine kişisel cihazdan erişildiğinde kontrolü kim sağlayacak?

Senaryo tanıdık gelecektir. Çalışan evinden kendi dizüstü bilgisayarıyla Teams'e bağlanıyor, SharePoint dosyalarını indiriyor, e-posta eklerini kişisel cihaza kaydediyor. Cihazda güncel olmayan işletim sistemi var, antivirüs yok ya da çalışmıyor. Şirkete ait hiçbir güvenlik politikası bu cihaza uygulanmıyor.

İşten ayrılma senaryosu daha da kritik: Çalışan şirketten ayrıldığında kişisel cihazındaki kurumsal verileri nasıl sileceksiniz? Sözlü talep genellikle yeterli olmaz.

Kurumsal cihazlarda da benzer bir tablo var: Kimler hangi uygulamaları yükledi? Hangi cihazların şifreleme aktif? Hangileri şirket politikalarıyla uyumlu, hangileri değil? Bu sorulara merkezi bir yanıt veremiyorsanız Microsoft Intune, tam bu boşluğu doldurmak için tasarlanmış bir çözüm.

Microsoft Intune, Microsoft'un bulut tabanlı Mobil Cihaz Yönetimi (MDM) ve Mobil Uygulama Yönetimi (MAM) platformudur. M365 Business Premium ve E3 dahil pek çok Microsoft lisansına zaten dahil — ayrıca satın almanız gerekmiyor.

Intune'un üç temel katmanı şöyle özetlenebilir:

• Enrollment (kayıt): Cihazı Intune'a kaydedin. Kayıtlı cihaza politika uygulayabilir, uygulama dağıtabilir, gerektiğinde silme işlemi gerçekleştirebilirsiniz. Şirket cihazları için tam kayıt, kişisel cihazlar için kullanıcı başlatmalı kayıt seçenekleri var.
• Compliance (uyumluluk) politikaları: Cihazın sisteme erişebilmek için karşılaması gereken minimum koşulları belirleyin. "İşletim sistemi en az Windows 11 22H2 olmalı", "disk şifrelemesi aktif olmalı", "jailbreak tespit edilmemelidir" gibi kurallar tanımlarsınız. Uyumsuz cihazlar otomatik olarak Conditional Access tarafından bloklanır.
• Uygulama koruma politikaları (APP): Kişisel cihazda sadece kurumsal uygulamalara erişimi kontrol edin. Outlook üzerinden gelen e-posta ekini kişisel WhatsApp'a yapıştırmayı engelleyebilirsiniz. Cihazı silmeden yalnızca kurumsal verileri temizleyebilirsiniz. Bu yaklaşım, çalışanın kişisel verilerine dokunmadan kurumsal güvenliği sağlar.

MDM ile MAM'ı birbirinden ayırt etmek önemli: MDM cihazı yönetir, MAM uygulamayı yönetir. Şirket cihazları için genellikle MDM; kişisel cihazlar (BYOD) için MAM daha kabul edilebilir bir yaklaşım.

Intune projesine başlamadan önce temel soruları yanıtlamak süreci önemli ölçüde kısaltır: Hangi cihaz tipleri kapsama alınacak (Windows, iOS, Android, macOS)? Şirket cihazı mı, kişisel cihaz mı, her ikisi mi? Mevcut cihazların envanteri var mı?

Temel kurulum adımları:

• 1. Intune lisansı ve MDM yetkisi: Microsoft Endpoint Manager admin center'da MDM yetkisini Intune olarak ayarlayın. M365 Business Premium ya da E3 lisansınız varsa bu adım basit bir konfigürasyon.
• 2. Enrollment profilleri: Windows cihazlar için Entra ID'ye katılım ve otomatik MDM enrollment ayarlayın. iOS ve Android için Apple Business Manager veya Android Enterprise konfigürasyonu gerekir.
• 3. Compliance politikaları: Minimum güvenlik gereksinimlerini belirleyin. Başlangıçta birkaç temel kural yeterli — her şeyi ilk günden katı tutmaya çalışmak benimseme sorunlarına yol açar.
• 4. Uygulama dağıtımı: Microsoft 365 uygulamalarını, kurumsal araçları ve güvenlik yazılımlarını merkezi olarak tüm cihazlara dağıtın. Çalışanlar yeni cihaz aldığında kurumsal uygulamalar otomatik yüklenir.
• 5. Conditional Access bağlantısı: Uyumsuz cihazların SharePoint, Exchange ve diğer kurumsal kaynaklara erişimini otomatik bloklayın. Bu adım, politikalarınıza gerçek yaptırım gücü katar.

Mevcut bir Active Directory ortamınız varsa, Entra ID Hybrid Join yapılandırması ile mevcut cihazlar kesintisiz Intune kapsamına alınabilir. Sıfırdan başlayan şirketler için ise Entra ID native yaklaşım çok daha temiz bir başlangıç noktası.

Windows Autopilot, Intune'un sağladığı en etkili operasyonel kolaylıklardan biridir. Kavram basit ama etkisi büyük: Yeni bir Windows cihazı kutudan çıkarıp internete bağladığınızda, cihaz kendi kendini şirket politikalarıyla yapılandırıyor.

IT ekibinin cihaza fiziksel olarak dokunmasına gerek kalmıyor. Üretici ya da distribütör doğrudan çalışana kargo gönderebilir. Uzak ofis veya evden çalışan personele cihaz dağıtmak artık merkezi kurulum gerektirmiyor.

Autopilot'un temel kurulum akışı şu şekilde işliyor:

• Cihaz seri numarası Microsoft'a kayıt ediliyor (distribütör üzerinden veya manuel)
• Enrollment Status Page konfigüre ediliyor: Kurulum tamamlanana kadar kullanıcı masaüstüne erişemiyor
• Kullanıcı cihazı açıp şirket hesabıyla giriş yapıyor
• Uygulamalar, politikalar ve sertifikalar otomatik yükleniyor
• 30-60 dakika içinde cihaz kullanıma hazır

Autopilot özellikle hızlı büyüyen ekipler için ciddi bir zaman tasarrufu sağlıyor. Yılda 20-30 cihaz dağıtıyorsanız etkisi hissedilir düzeyde; cihaz başı IT süresini birkaç saatten dakikalar düzeyine indiriyor.

Intune ve Autopilot, izole araçlar olarak değil, bütünleşik bir güvenlik mimarisinin parçası olarak değerlendirilmeli. Zero Trust yaklaşımında cihaz uyumluluğu kritik bir katman; Secure Score'unuzu artırmak istiyorsanız Intune compliance politikaları doğrudan puan katkısı sağlıyor.

Intune'un en hassas konusu kişisel cihaz yönetimidir. Çalışanlar haklı bir soru soruyor: "Kişisel telefonumu şirkete kaydettiğimde ne görebilirsiniz, ne yapamazsınız?"

Bu soruyu şeffaf biçimde yanıtlamak, BYOD politikasının benimsenmesi için kritik. Intune'un kişisel cihazlarda yapabilecekleri ve yapamayacakları net:

• Yapabilir: Kurumsal uygulamaları yönetmek, kurumsal verileri silmek (kişisel verilere dokunmadan), uyumluluk durumunu kontrol etmek.
• Yapamaz: Kişisel uygulamaları görmek, telefon görüşmelerini izlemek, kişisel mesaj veya fotoğraflara erişmek, konumu sürekli takip etmek.

BYOD politikanızı yazılı hâle getirin ve çalışanlara enrollment öncesinde paylaşın. Bu adım hem yasal açıdan sizi korur hem de güven ilişkisini güçlendirir.

Gibibyte olarak Intune projelerinde teknik kurulumun yanı sıra BYOD politika dokümanı hazırlanmasına ve çalışan iletişimine de destek veriyoruz. Çünkü en iyi yapılandırılmış teknik çözüm bile benimsenmezse sonuç üretmiyor.