Microsoft Intune w małej firmie: czy warto, ile realnie kosztuje i czym różni się od Entra ID

Handlowiec wraca z targów w Amsterdamie i na lotnisku zostawia plecak. W plecaku laptop. Na laptopie oferty dla czterech największych klientów, cennik zakupowy i wyeksportowana z CRM-a baza kontaktów, bo tak było wygodniej pracować w hotelu.

Telefon do biura o 19:40. W ciągu następnej godziny padają cztery pytania i na żadne nie ma odpowiedzi. Czy dysk był zaszyfrowany? Nikt nie wie, bo nikt tego nigdy nie sprawdzał. Czy da się zdalnie usunąć dane? Nie da się, laptop nie jest podłączony do żadnego systemu zarządzania. Czy ktoś jeszcze ma te same pliki lokalnie? Prawdopodobnie połowa zespołu. Czy trzeba zgłosić naruszenie do UODO w ciągu 72 godzin? Skoro nie potrafimy wykazać, że dane były zaszyfrowane, to raczej tak.

Żaden antywirus tej sytuacji nie zapobiegłby. To nie jest problem wykrywania zagrożeń, tylko braku kontroli nad tym, co znajduje się na firmowym sprzęcie i jak jest skonfigurowane. Microsoft Intune to usługa, która ten konkretny problem rozwiązuje. Poniżej wyjaśniamy, czym dokładnie jest, czym różni się od Entra ID i Defendera, co realnie daje firmie na dwadzieścia kilka osób, ile kosztuje i kiedy lepiej sobie odpuścić.

Microsoft Intune: co to jest i do czego służy

Microsoft Intune to chmurowa usługa do centralnego zarządzania komputerami i telefonami w firmie. Pozwala z jednego panelu ustalić, jak ma być skonfigurowany każdy służbowy laptop, jakie aplikacje ma mieć zainstalowane, jakich zabezpieczeń wymagamy i co się dzieje, gdy urządzenie tych wymagań nie spełnia. Wszystko bez serwera w biurze, bo cała logika działa w chmurze Microsoftu.

W praktyce Intune robi trzy rzeczy. Wymusza ustawienia, których nie chcemy zostawiać uznaniu użytkownika, na przykład szyfrowanie dysku czy blokadę ekranu. Dostarcza i aktualizuje aplikacje bez chodzenia od biurka do biurka. Sprawdza stan każdego urządzenia i raportuje, które z nich odstaje od przyjętego standardu.

To narzędzie z kategorii MDM, czyli Mobile Device Management, choć nazwa jest dziś myląca, bo Intune zarządza nie tylko telefonami, ale też laptopami z Windows i macOS. Microsoft używa szerszego pojęcia UEM, ujednolicone zarządzanie punktami końcowymi. Dla właściciela firmy istotne jest tylko to, że mówimy o jednym miejscu, z którego widać i kontroluje się cały firmowy sprzęt.

MDM czy MAM: dwa różne sposoby użycia

To rozróżnienie decyduje o kształcie całego wdrożenia, a większość firm dowiaduje się o nim dopiero w trakcie.

Zarządzanie urządzeniem (MDM) oznacza, że firma przejmuje kontrolę nad całym sprzętem. Ma sens dla laptopów i telefonów, które firma kupiła i wydała pracownikowi. Możemy wtedy wymuszać ustawienia systemowe, instalować oprogramowanie, blokować porty USB i w razie potrzeby wyczyścić urządzenie do zera.

Zarządzanie aplikacją (MAM) oznacza, że kontrolujemy tylko dane firmowe wewnątrz konkretnych aplikacji, a resztą urządzenia się nie zajmujemy. To rozwiązanie dla prywatnych telefonów, na których ludzie sprawdzają służbową pocztę. Pracownik ma na swoim iPhonie firmowego Outlooka, z którego nie da się skopiować załącznika do WhatsAppa ani zapisać go do prywatnego iClouda. Zdjęcia z wakacji, prywatne wiadomości i lokalizacja pozostają całkowicie poza zasięgiem firmy.

W firmie na 25 osób prawie zawsze potrzebne są oba tryby jednocześnie: MDM dla laptopów służbowych, MAM dla prywatnych telefonów. Ustalenie, kto trafia do której grupy, to pierwsza decyzja we wdrożeniu i najczęstsze źródło późniejszych konfliktów.

Intune, Entra ID i Defender: kto za co odpowiada

To pytanie pada najczęściej i najrzadziej dostaje sensowną odpowiedź. Trzy usługi Microsoftu, których nazwy pojawiają się zawsze razem, odpowiadają za trzy zupełnie różne rzeczy.

Entra ID (dawniej Azure Active Directory) to katalog użytkowników i haseł. Wie, że Anna Kowalska pracuje w księgowości, ma włączone uwierzytelnianie wieloskładnikowe i może wejść do folderu z fakturami. Nie wie natomiast nic o laptopie, z którego Anna właśnie się loguje.

Intune zna urządzenie. Wie, że ten konkretny laptop ma zaszyfrowany dysk, aktualne poprawki i włączoną zaporę, albo że nie ma i dlatego nie powinien dostać dostępu do niczego wrażliwego.

Defender for Endpoint pilnuje, czy na urządzeniu nie dzieje się nic podejrzanego, i w razie potrzeby izoluje je od sieci. To warstwa reagowania na atak, opisaliśmy ją szerzej w tekście o tym, czym jest EDR i czy antywirus w firmie jeszcze wystarcza.

Te trzy usługi współpracują przez mechanizm zwany dostępem warunkowym (Conditional Access). Gdy pracownik próbuje otworzyć służbową pocztę, system sprawdza w Entra ID tożsamość, w Intune stan urządzenia, w Defenderze poziom ryzyka, i na tej podstawie wpuszcza albo odmawia. Bez Intune ten mechanizm jest ślepy na sprzęt: wie, kto się loguje, ale nie wie, czy robi to z zabezpieczonego firmowego laptopa, czy z zainfekowanego komputera w kafejce.

Ważne zastrzeżenie techniczne: Intune nie jest alternatywą dla Entra ID, on go wymaga. Entra ID jest fundamentem, na którym Intune stoi.

Co Intune realnie daje w firmie na 25 osób

Listy funkcji na stronach producentów mają po czterdzieści pozycji i niczego nie wyjaśniają. Poniżej pięć rzeczy, które zmieniają się w firmie na drugi dzień po wdrożeniu.

Szyfrowanie dysku, którego nie da się nie włączyć. BitLocker działa na każdym laptopie, a klucz odzyskiwania leży w chmurze firmy, a nie na karteczce w szufladzie. Wracając do handlowca z Amsterdamu: przy zaszyfrowanym dysku zgubiony laptop przestaje być naruszeniem ochrony danych i staje się problemem księgowym, czyli kosztem nowego sprzętu.

Zdalne czyszczenie urządzenia. Laptop zniknął, administrator wysyła polecenie wyczyszczenia, urządzenie usuwa dane przy pierwszej próbie połączenia z siecią. W przypadku prywatnego telefonu w trybie MAM usuwane są tylko dane firmowe, a prywatne zostają nietknięte.

Nowy pracownik bez wizyty informatyka. Mechanizm Windows Autopilot pozwala wysłać laptopa kurierem prosto do domu nowej osoby. Po pierwszym zalogowaniu urządzenie samo pobiera konfigurację, polityki i aplikacje. Pracownik zaczyna pracę na gotowym stanowisku, a nikt nie musiał go rozpakowywać ani klikać przez instalator. Więcej o tym, gdzie ten proces zwykle się rozsypuje, w tekście o onboardingu pracownika z perspektywy IT.

Polityki zgodności, które faktycznie coś blokują. Definiujemy warunki: aktualny system, włączone szyfrowanie, działająca zapora, ustawiony PIN. Urządzenie, które ich nie spełnia, nie dostaje dostępu do poczty i plików, dopóki właściciel nie doprowadzi go do porządku. To różnica między polityką bezpieczeństwa w segregatorze a polityką, która działa.

Kontrola nad danymi na prywatnych telefonach bez wchodzenia w prywatność. Firma nie widzi zdjęć ani wiadomości pracownika, ale służbowe załączniki nie wychodzą z firmowych aplikacji. To ta warstwa, której nie zapewni sam program antywirusowy na telefonie, i naturalne dopełnienie mobilnej ochrony przed zagrożeniami (MTD).

Ile kosztuje Intune i czy już za niego nie płacisz

To sekcja, po którą większość osób tu przychodzi, i zwykle kończy się zaskoczeniem.

Intune sprzedawany jest osobno jako Plan 1, ale przede wszystkim wchodzi w skład kilku pakietów Microsoft 365. Jeśli Twoja firma korzysta z Microsoft 365 Business Premium, E3 lub E5, Intune już masz w abonamencie. Nie trzeba go kupować, trzeba go tylko uruchomić i skonfigurować. Spora część firm płaci za tę usługę od lat i nigdy z niej nie skorzystała.

Poniżej orientacyjne kwoty netto za użytkownika miesięcznie, stan na wrzesień 2026, przy rozliczeniu rocznym:

Policzmy to na firmie z 25 pracownikami, która dziś siedzi na Business Standard i zastanawia się, co dalej.

Wariant pierwszy: zostajemy na Standardzie i dokupujemy Intune Plan 1 osobno. Wychodzi około 88 zł na osobę, czyli w okolicach 2200 zł miesięcznie za cały zespół. Dostajemy zarządzanie urządzeniami i nic więcej.

Wariant drugi: przechodzimy na Business Premium. Wychodzi około 94 zł na osobę, czyli około 2350 zł miesięcznie. Za różnicę rzędu kilku złotych na osobę dochodzi Microsoft Defender for Business, Entra ID Premium P1 (a więc dostęp warunkowy, o którym była mowa wyżej) oraz narzędzia do klasyfikacji i ochrony dokumentów.

Wniosek dla większości firm w przedziale 10 do 60 osób jest ten sam: dokupywanie Intune do Business Standard rzadko ma sens ekonomiczny. Przejście na Business Premium kosztuje niewiele więcej i daje spójny zestaw, w którym poszczególne elementy ze sobą rozmawiają.

Dwie rzeczy warto sprawdzić przed decyzją, bo zmieniły się niedawno. Microsoft zapowiedział podwyżki cen planów Business i Enterprise od lipca 2026. Zmieniły się też zasady dokupowania dodatków: Plan 1 jest teraz wymagany jako podstawa, żeby dołożyć bardziej zaawansowane moduły z pakietu Intune Suite.

Zastrzeżenie: podane kwoty są orientacyjne i netto. Microsoft rozlicza subskrypcje w walutach obcych, więc cena w złotych zależy od kursu, od tego, czy kupujesz bezpośrednio czy przez partnera CSP, oraz od długości zobowiązania. Przed decyzją zakupową potwierdź aktualne stawki u swojego dostawcy licencji.

Kiedy Intune to przerost formy

Nie każda firma powinna to wdrażać i nie każdy sprzedawca to powie.

Jeśli pracujecie w pięć osób na prywatnych MacBookach, nie macie wspólnej infrastruktury i każdy trzyma pliki tam, gdzie mu wygodnie, to Intune rozwiąże problem, którego jeszcze nie macie, a stworzy nowy: konfigurację, o której nikt nie będzie pamiętał.

Jeśli firma nie korzysta z Microsoft 365, wdrożenie Intune oznacza przebudowę całego środowiska tożsamości. To projekt, nie zakup licencji.

Jeśli w firmie nie ma nikogo, kto weźmie odpowiedzialność za polityki po wdrożeniu, efekt będzie odwrotny do zamierzonego. Polityki zostaną poluzowane przy pierwszej reklamacji od zarządu i po pół roku system będzie istniał tylko na fakturze.

W tych sytuacjach lepiej zacząć od trzech rzeczy tańszych i skuteczniejszych na tym etapie: menedżera haseł, uwierzytelniania wieloskładnikowego i sprawdzonego backupu. Do Intune wraca się naturalnie w okolicach 15 osób, gdy liczba urządzeń przestaje mieścić się w głowie jednej osoby.

Wdrożenie krok po kroku i najczęstsze błędy

Sensowne wdrożenie w małej firmie ma pięć etapów i zajmuje od dwóch do sześciu tygodni, w zależności od bałaganu na starcie.

Audyt sprzętu. Trzeba wiedzieć, ile urządzeń faktycznie pracuje na firmowych danych, jakie mają systemy i które nie nadają się już do zarządzania. Zwykle wychodzi przy tym kilka rzeczy, o których nikt nie pamiętał, podobnie jak w naszym audycie bezpieczeństwa siedmiu urządzeń, których nikt nie sprawdza.

Decyzja MDM czy MAM dla każdej grupy. Laptopy służbowe, telefony służbowe, telefony prywatne, sprzęt podwykonawców. Cztery grupy, cztery różne poziomy kontroli.

Polityki bazowe. Szyfrowanie, wymagania hasła, aktualizacje, zapora, blokada ekranu. Zaczynamy od minimum, które nikomu nie przeszkadza w pracy.

Pilotaż na trzech do pięciu osobach. Najlepiej na osobach z różnych działów i o różnym poziomie cierpliwości do technologii. Tu wychodzą wszystkie niespodzianki.

Rollout etapami. Dział po działe, z możliwością wycofania zmiany.

Cztery błędy, które w małych firmach wywracają ten projekt:

Wdrożenie całej firmy w jeden weekend. Bez pilotażu w poniedziałek rano nie działa drukarka, VPN i połowa aplikacji branżowych, a zaufanie do projektu znika na dobre.

Polityki tak restrykcyjne, że ludzie szukają obejść. Zablokowany USB i zablokowany prywatny dysk w chmurze bez zapewnienia sensownej alternatywy kończy się przesyłaniem plików przez prywatnego WhatsAppa. Zamiast kontroli dostajemy Shadow IT, tylko trudniejsze do wykrycia.

BYOD wprowadzone bez rozmowy z zespołem. Komunikat „od poniedziałku instalujemy zarządzanie na Waszych telefonach” wywoła konflikt, nawet jeśli technicznie firma nie widzi niczego prywatnego. Trzeba to wyjaśnić przed wdrożeniem, nie po.

Brak właściciela konfiguracji. Polityki wymagają przeglądu, gdy zmienia się system, aplikacja albo sposób pracy. Bez wskazanej osoby albo zewnętrznego partnera konfiguracja starzeje się w ciszy.

Intune a offboarding, RODO i NIS2

Odejście pracownika jest testem, który obnaża każde zarządzanie urządzeniami. Bez Intune wygląda to tak: konto w Microsoft 365 skasowane, laptop odebrany, i nikt nie wie, czy na tym laptopie zostały pliki, czy pracownik miał je zsynchronizowane na prywatnym komputerze i do ilu narzędzi wciąż ma dostęp. Opisaliśmy to szczegółowo w tekście o offboardingu pracownika.

Z Intune to jedno działanie z zapisem w logu: urządzenie wyrejestrowane, dane firmowe usunięte, dostęp odebrany, zdarzenie udokumentowane.

To ostatnie słowo ma znaczenie wykraczające poza sprawność operacyjną. RODO wymaga wdrożenia odpowiednich środków technicznych, a w razie naruszenia ochrony danych trzeba umieć wykazać, jakie zabezpieczenia obowiązywały. Raport z Intune pokazujący, że urządzenie miało zaszyfrowany dysk, jest dowodem. Oświadczenie, że „stosujemy szyfrowanie”, nie jest.

Podobnie wygląda to przy ustawie o KSC wdrażającej dyrektywę NIS2 oraz przy certyfikacji ISO 27001. Oba wymagają udokumentowanego zarządzania sprzętem i kontroli dostępu. Firmy, które przechodzą ankiety zgodności od większych klientów, coraz częściej dostają pytanie wprost: czy zarządzacie centralnie stacjami roboczymi i czy potraficie to udowodnić.

Od czego zacząć

Pierwszy krok nie jest zakupem. Jest sprawdzeniem, co już masz.

Sprawdzamy, jaką licencję Microsoft 365 ma Twoja firma, czy Intune jest w niej zawarty, ile urządzeń faktycznie pracuje na firmowych danych i które z nich nie spełniałyby dziś podstawowych wymagań bezpieczeństwa. Na tej podstawie wiadomo, czy potrzebne jest wdrożenie, zmiana planu, czy po prostu uruchomienie tego, za co już płacisz.

Skontaktuj się z nami, albo zobacz, jak wygląda nasz audyt IT.