Microsoft Intune och enhetshantering: guiden för företag

Intune är en av de delar av Microsoft 365 som många företag betalar för utan att använda. Den ingår i Business Premium, och det är inte ovanligt att ett företag med Premium inte har en enda dator inskriven. Datorerna installeras för hand, uppdateras när användaren råkar klicka på knappen och ingen vet säkert vilka som är krypterade. Det fungerar tills någon slutar, tappar en telefon eller frågar hur snabbt säkerhetsuppdateringar installeras.

Enheterna är det andra av sex områden i guiden till cybersäkerhet, direkt efter identiteten. Den här sidan ger dig helheten: vad enhetshantering är, vad Intune gör, hur delarna hänger ihop och i vilken ordning du inför det. För varje del finns en fördjupning.

Vad är enhetshantering?

Enhetshantering är att styra företagets enheter centralt och på distans, i stället för en i taget. Du bestämmer hur en dator eller telefon ska vara inställd, vilka program den ska ha och vilka säkerhetskrav den ska uppfylla, och sedan ser ett system till att alla enheter är det. På engelska kallas det endpoint management, och verktyget som gör det för alla sorters enheter kallas UEM, unified endpoint management.

Skillnaden märks i vardagen. Utan enhetshantering tar det en halv dag att ställa i ordning en ny dator, och resultatet beror på vem som gjorde det. Med enhetshantering blir varje dator likadan, och du kan se i en lista vilka som uppfyller kraven och vilka som inte gör det.

Det finns två sätt att hantera en enhet. Med MDM, mobile device management, skrivs hela enheten in och företaget styr inställningar, säkerhet och appar. Med MAM, mobile application management, skyddas bara jobbapparna och datan i dem, utan att enheten skrivs in. MDM passar företagets egna enheter, MAM passar privata telefoner. Begreppen och skillnaderna förklaras i endpoint management och UEM och MDM för företag.

Enhetshantering ska inte blandas ihop med EDR. Enhetshanteringen bestämmer hur datorn är inställd, EDR bevakar vad som händer på den och larmar vid angrepp. Du behöver båda, och EDR kompenserar inte för datorer som saknar uppdateringar.

Vad är Microsoft Intune?

Microsoft Intune är Microsofts molnbaserade tjänst för enhetshantering, utan servrar hos dig. Microsoft beskriver den som unified endpoint management för enheter och appar, och enligt Microsoft Learn stöder den Windows, macOS, iOS och iPadOS, Android och Linux. Du administrerar allt i webbläsaren, i Microsoft Intune administrationscenter.

Intune hänger ihop med Microsoft Entra ID, där företagets konton och inloggningar finns. Det är den kopplingen som gör Intune mer än en inventarielista. Intune vet om en dator är krypterad och uppdaterad, och den informationen kan villkorad åtkomst i Entra ID använda för att bara släppa in enheter som uppfyller kraven. Hur identitetsdelen fungerar står i guiden till identitet och åtkomst.

Licensen. Intune Plan 1 ingår i Microsoft 365 Business Premium, E3 och E5, och enligt Microsoft får de flesta organisationer Intune genom ett sådant paket. Business Basic och Business Standard har bara en enklare mobilhantering, Basic Mobility and Security, som klarar lösenordskrav, kryptering och radering men saknar bland annat appskydd, apputrullning och Windows Autopilot. Utöver Plan 1 finns tilläggen Intune Plan 2 och Intune Suite, med bland annat fjärrhjälp. De flesta små och medelstora företag behöver dem inte för att komma igång. [VERIFIERA MOT KÄLLA: licens, att Intune Plan 1 ingår i Business Premium, E3 och E5 vid publicering] Hur planerna skiljer sig åt står i vad är Microsoft 365.

Configuration Manager. Har du Microsofts äldre verktyg Configuration Manager på en egen server behöver du inte riva ut det. Samma datorer kan hanteras av båda samtidigt, det kallas samhantering, och du flyttar över en del i taget till Intune. För ett företag som börjar från noll är Intune nästan alltid det rimliga valet. Mer i vad är Intune.

Hur hänger delarna ihop?

Tänk på enhetshanteringen som en enhets liv, från inköp till återlämning. Varje del har en viktigaste åtgärd och en egen guide.

Del av livet	Vad det handlar om	Viktigaste åtgärden	Läs mer
Verktyget	Var styrningen sker och vad det kan	Använd det du redan betalar för	Vad är Intune?, Endpoint management och UEM
Anskaffningen	Köpa, leasa eller hyra datorerna	Välj efter vem som gör jobbet, inte efter månadsavgiften	Datorer som tjänst
Leveransen	Hur en ny dator blir färdig	Datorn ställer in sig själv vid första inloggningen	Windows Autopilot
Styrningen	Inställningar, appar, krav och åtgärder på distans	Efterlevnad kopplad till inloggningen	MDM, Endpoint management och UEM
Uppdateringarna	Säkerhetsuppdateringar i tid	Tidsgränser efter risk och en rapport varje månad	Patchhantering
Privata enheter	Jobbdata i medarbetarnas egna telefoner	Appskydd och en skriven policy	BYOD
Avslutet	När någon slutar eller en enhet tappas bort	Radera företagets data samma dag som kontot stängs	MDM, BYOD

En svag del räcker för att resten tappar värde. En perfekt inställd dator som inte får säkerhetsuppdateringar är inte säker, och en snabb Autopilot-leverans är inte mycket värd om inställningarna den levererar är halvfärdiga.

Vad kan du styra med Intune?

Det mesta som avgör om en dator eller telefon är säker och användbar. Fyra områden gör störst skillnad.

Uppdateringar. Med uppdateringsringar i Intune bestämmer du när Windows-uppdateringar installeras, och när installationen och omstarten tvingas fram. Vanligt är en pilotgrupp som får uppdateringarna direkt och en eller två ringar för resten. Windows Autopatch kan automatisera uppdateringar av Windows, Microsoft 365-apparna, Edge och Teams, och enligt Microsoft finns funktionerna i Business Premium sedan april 2025. [VERIFIERA MOT KÄLLA: licens] När en uppdatering inte kan vänta skickar du den som en skyndsam uppdatering förbi ringarnas fördröjning.

Omfattas du av cybersäkerhetslagen är det också ett krav. Föreskrifterna MCFFS 2026:11 säger att säkerhetsuppdateringar ska genomföras skyndsamt, och det allmänna rådet är att påbörja arbetet med en säkerhetsuppdatering inom 72 timmar efter att den blivit tillgänglig. Programvara som inte längre får säkerhetsuppdateringar ska bytas ut eller uppgraderas utan onödigt dröjsmål. Det gäller till exempel Windows 10, som fick sina sista ordinarie säkerhetsuppdateringar den 14 oktober 2025. Intune uppdaterar inte brandväggar, servrar eller program från alla leverantörer, så de behöver en egen rutin. Processen, prioriteringen efter risk och hur du mäter står i patchhantering.

Appar. Office, Teams och företagets andra program rullas ut till rätt personer utan att någon installerar för hand. Appar som inte ska finnas kan blockeras eller tas bort.

Säkerhet. Kryptering med BitLocker, brandvägg, skärmlås och skydd mot skadlig kod ställs in en gång och gäller alla. Det viktigaste är efterlevnad, compliance på engelska: regler för vad en enhet måste uppfylla. En dator som inte är krypterad markeras, och tillsammans med villkorad åtkomst kommer den inte åt e-posten förrän den är det. Utan efterlevnad syns bristerna bara i en rapport som ingen läser.

Åtgärder på distans. Du kan låsa en enhet, ta bort bara företagets data och lämna det privata kvar, eller återställa hela enheten till fabriksinställningar. På företagsägda enheter kan du också se ungefär var en borttappad enhet är. Den fullständiga funktionslistan finns i endpoint management och UEM, och skillnaden mellan åtgärderna förklaras i MDM för företag.

Hur får nya medarbetare färdiga datorer?

Med Windows Autopilot, som gör en ny dator färdig när användaren loggar in första gången. Datorn registreras i Autopilot av tillverkaren eller återförsäljaren, skickas direkt till användaren och packas upp där. Användaren ansluter till ett nätverk och loggar in med sitt jobbkonto. Sedan skrivs datorn in i Intune och får inställningar, säkerhet och program automatiskt.

Kraven är få men viktiga. Datorn ska ha Windows Pro, Enterprise eller Education, eftersom Windows Home inte stöds. Automatisk inskrivning i Intune ska vara påslagen, och datorerna ska ha en Autopilot-profil. När någon slutar kan Autopilot Reset ta bort användarens filer och appar men behålla kopplingen till Intune, så att datorn är klar för nästa person.

Det som sällan står i broschyren är att Autopilot bara levererar det du har byggt i Intune. Är inställningarna halvfärdiga får du en halvfärdig dator, fast snabbare. Flödet steg för steg och hur du inför det står i Windows Autopilot.

Hur hanterar du medarbetarnas egna telefoner?

Med appskydd, inte med full enhetshantering. BYOD, bring your own device, betyder att medarbetarna använder sina egna telefoner i jobbet, och i de flesta företag gör de redan det. Appskydd i Intune skyddar företagets data inne i Outlook, Teams och OneDrive utan att telefonen skrivs in. Du kan kräva pinkod för jobbapparna, stoppa kopiering till privata appar och radera bara företagets data när någon slutar.

Appskyddet blir ett krav först när villkorad åtkomst släpper in enbart skyddade appar från mobiler. Annars kan vem som helst med lösenord och MFA logga in från en oskyddad app.

Integriteten är det som oroar kollegorna. Enligt Microsoft kan företaget aldrig se samtals- och webbhistorik, e-post och sms, kontakter, kalender, lösenord, bilder eller innehållet i egna dokument. Visa den listan innan du inför något, det löser det mesta av motståndet. Det vanliga misstaget går åt andra hållet: företag som tvingar in privata telefoner i full MDM när appskydd hade räckt. För privata datorer är det ärliga svaret oftast nej, köp en dator i stället. Ett färdigt policyutkast finns i BYOD-guiden.

Ska du köpa, leasa eller hyra datorerna?

Det beror på vem som ska göra jobbet runt datorerna, inte på datorn. Vid köp och leasing sköter du installation, uppdateringar och byten själv eller via en IT-partner. Vid datorer som tjänst betalar du en fast månadsavgift där de tjänsterna ingår, ofta med registrering i Autopilot och hantering i Intune.

För ett företag som har pengarna, använder datorerna länge och har någon som sköter dem är köp oftast billigast räknat över datorns livslängd. Datorer som tjänst vinner på förutsägbarhet, inte på pris. Läs villkoren för uppsägning, automatisk förlängning och återlämning innan du skriver under. Jämförelsen finns i datorer som tjänst.

Så inför du enhetshantering

Ordningen spelar roll. De här stegen fungerar för ett företag med 20 till 250 användare i Microsoft 365, och du behöver inte göra allt på en gång.

1. Inventera. Lista vilka datorer och telefoner som finns, vem som har dem och vilka som är företagets och vilka som är privata.
2. Kontrollera licenserna. Har användarna Business Premium, E3 eller E5 har du redan Intune. Köp inget nytt innan du vet vad du har.
3. Skriv grundkraven. Kryptering, skärmlås, uppdateringar och skydd mot skadlig kod, på en sida.
4. Slå på automatisk inskrivning i Entra ID, så att datorer skrivs in när användaren loggar in.
5. Testa på en liten grupp. IT-ansvarig och ett par frivilliga kollegor från olika avdelningar först.
6. Sätt upp uppdateringarna. Uppdateringsringar eller Autopatch, med en pilotgrupp och tidsgränser.
7. Skriv in resten. Företagsdatorer via Autopilot när de byts ut eller återställs, företagstelefoner via MDM, privata telefoner med appskydd.
8. Koppla på efterlevnaden. När enheterna är inskrivna, låt villkorad åtkomst kräva en hanterad enhet eller ett appskydd för e-post och filer.
9. Följ upp varje månad. Enheter som inte uppfyller kraven, enheter som inte hörts av på länge och system utan leverantörsstöd.

Steg 1 till 3 kostar bara tid och ger dig underlaget för allt annat. Steg 8 är det som gör skillnad för säkerheten, men det ska komma sist, annars låser du ute kollegor vars enheter inte hunnit skrivas in.

Checklista: standardisera dina datorer

Använd listan för att se var du står. Varje punkt ska kunna besvaras med ja och ett namn på den som ansvarar.

Inventering

• Det finns en aktuell lista över alla datorer och telefoner, med ägare.
• Det är bestämt vilka enheter som är företagets och vilka som är privata.
• Ingen dator kör en Windows-version utan säkerhetsuppdateringar, eller så finns ett datum för byte.

Inställningar

• Alla företagsdatorer är inskrivna i Intune.
• Alla datorer är krypterade.
• Skärmlås och skydd mot skadlig kod är påslaget och styrt centralt.
• Ingen användare är lokal administratör på sin dator utan ett uttalat skäl.

Uppdateringar

• Windows uppdateras via uppdateringsringar eller Autopatch, med en pilotgrupp.
• Det finns tidsgränser för säkerhetsuppdateringar efter risk.
• Någon kontrollerar varje månad att uppdateringarna faktiskt är installerade.

Nya och gamla datorer

• Nya datorer köps med Windows Pro eller bättre och registreras i Autopilot.
• En ny medarbetare kan få en färdig dator utan att IT rör den.
• Datorer som lämnas tillbaka raderas eller återställs innan de går vidare.

Telefoner och privata enheter

• Företagstelefoner är inskrivna och kan låsas och raderas på distans.
• Privata telefoner har appskydd på jobbapparna.
• Det finns en skriven BYOD-policy som kollegorna har läst.

Åtkomst och ansvar

• Villkorad åtkomst kräver en hanterad enhet eller ett appskydd för e-post och filer.
• Företagets data tas bort från enheten samma dag som ett konto stängs.
• Det står ett namn bredvid ansvaret för enhetshanteringen.

Skriv ut eller spara som PDF

Samma lista som ovan, att skriva ut. Ingen e-post krävs.

Alla guider om enhetshantering

• Vad är Intune? Kort förklaring av tjänsten, licenserna och när Configuration Manager passar.
• Endpoint management och UEM Vad ett verktyg ska klara, hur du väljer och hur du börjar.
• MDM för företag Vad mobile device management gör, skillnaden mot MAM och vad företaget ser på en privat telefon.
• Windows Autopilot Så får nya medarbetare färdiga datorer, från kartong till skrivbord.
• Patchhantering Processen steg för steg, prioritering efter risk och vad föreskrifterna kräver.
• BYOD Egna enheter på jobbet, med ett färdigt policyutkast.
• Datorer som tjänst En ärlig jämförelse med köp och leasing, och avtalsvillkoren du ska läsa två gånger.

Bestäm en gång, låt systemet upprepa

Standardiserade datorer handlar inte om ett dyrt verktyg. Det handlar om att någon har bestämt hur en dator ska vara inställd, hur snabbt den ska uppdateras och vad som händer när någon slutar, och sedan låter Intune göra samma sak på varje enhet. För de flesta företag med Business Premium är verktyget redan betalt. Börja med inventeringen och grundkraven, så vet du vad som saknas innan någon försöker sälja dig något mer.

Så hjälper Nod till

Nod går kostnadsfritt igenom dina enheter: hur många som är inskrivna i Intune, hur uppdateringarna sköts, vilka licenser du har och vad de redan räcker till. Du får en lista över vad som bör göras först. Vill du att vi gör jobbet sätter vi upp Intune, Autopilot, uppdateringar och appskydd och kopplar det till villkorad åtkomst, och kan sedan följa upp löpande. [FYLL I: bekräfta vad som ingår i Nods tjänst för enhet och arbetsplats, till exempel datorer som tjänst och löpande uppföljning] Läs mer om enhet och arbetsplats hos Nod.