Microsoft Intune: control total de dispositivos sin sacrificar productividad
Larry Dávila, especialista en endpoint management, explica cómo implementar Intune para gestionar laptops, móviles y tablets corporativos desde un solo panel.
En las empresas de hoy, el perímetro de seguridad ya no existe. Los empleados trabajan desde casa, desde aeropuertos, desde clientes — con laptops corporativas, teléfonos personales y tablets que mezclan datos de la empresa con aplicaciones personales.
Microsoft Intune es la respuesta de Microsoft a este desafío: una plataforma de gestión de endpoints unificada que le permite controlar, proteger y configurar todos los dispositivos de su organización desde un solo panel, sin importar el sistema operativo ni la ubicación del usuario.
¿Qué es exactamente Microsoft Intune?
Intune es el componente de gestión de dispositivos y aplicaciones de Microsoft Endpoint Manager. Permite:
- MDM (Mobile Device Management): Gestión completa del dispositivo — configuración, políticas, borrado remoto.
- MAM (Mobile Application Management): Gestión solo de las aplicaciones corporativas, sin tocar los datos personales del usuario.
- Compliance Policies: Definir qué significa un "dispositivo seguro" y bloquear el acceso a recursos corporativos si no cumple.
- Conditional Access: Integración con Microsoft Entra ID para permitir o denegar acceso según el estado del dispositivo.
Escenarios de implementación: BYOD vs. dispositivos corporativos
Una de las primeras decisiones al implementar Intune es definir el modelo de gestión según el tipo de dispositivo.
Dispositivos corporativos (Corporate-Owned)
Para laptops y dispositivos que pertenecen a la empresa, Intune ofrece gestión completa:
- Inscripción automática vía Windows Autopilot — el dispositivo se configura solo al encenderse por primera vez.
- Aplicación automática de políticas de seguridad: BitLocker, Windows Defender, restricciones de USB.
- Distribución de aplicaciones corporativas sin intervención del usuario.
- Inventario completo: hardware, software instalado, estado de cumplimiento.
Dispositivos personales (BYOD)
Para empleados que usan su propio teléfono o laptop, el enfoque cambia radicalmente. Nadie quiere que su empresa vea sus fotos personales o pueda borrar su dispositivo completo.
Con MAM sin inscripción (MAM-WE), Intune gestiona solo las aplicaciones corporativas (Outlook, Teams, OneDrive) sin tocar el resto del dispositivo:
- Los datos corporativos en Outlook están cifrados y no se pueden copiar a aplicaciones personales.
- Si el empleado sale de la empresa, solo se borran los datos corporativos — el dispositivo personal queda intacto.
- El usuario no percibe ninguna restricción en sus aplicaciones personales.
Este enfoque es especialmente relevante en Centroamérica, donde las regulaciones laborales hacen que el borrado remoto de dispositivos personales sea un área legal sensible.
Políticas de cumplimiento: definiendo el estándar de seguridad
Las políticas de cumplimiento son el corazón de Intune. Definen qué características debe tener un dispositivo para considerarse "seguro" y poder acceder a recursos corporativos.
Una política típica para Windows incluye:
- Versión mínima del sistema operativo: Windows 11 22H2 o superior.
- BitLocker habilitado: Cifrado de disco completo obligatorio.
- Windows Defender activo: Antivirus con definiciones actualizadas.
- Firewall habilitado: Sin excepciones no autorizadas.
- PIN o contraseña: Mínimo 8 caracteres con complejidad.
- Sin jailbreak o root: Para dispositivos móviles.
Cuando un dispositivo no cumple alguna de estas condiciones, Intune puede:
- Marcar como no conforme y enviar una notificación al usuario.
- Bloquear el acceso a correo, SharePoint y Teams vía Acceso Condicional.
- Borrar datos corporativos automáticamente después de un período de gracia.
Windows Autopilot: el fin del "unboxing" manual
Antes de Autopilot, preparar una laptop nueva para un empleado tomaba horas: instalar Windows, unir al dominio, instalar aplicaciones, configurar VPN, aplicar políticas de grupo. Todo manual, todo propenso a errores.
Con Windows Autopilot, el proceso es radicalmente diferente:
- El proveedor registra el hardware ID del dispositivo en el tenant de Azure AD.
- El empleado recibe la laptop, la enciende y se conecta a WiFi.
- Inicia sesión con su cuenta corporativa de Microsoft 365.
- Autopilot aplica automáticamente todas las configuraciones, instala las aplicaciones y une el dispositivo a Azure AD.
- En 30-45 minutos, el empleado tiene un dispositivo completamente configurado — sin intervención del equipo de TI.
Para empresas con empleados distribuidos en múltiples países de Centroamérica, esto es transformador. Ya no es necesario enviar un técnico o pedir al empleado que lleve el dispositivo a una oficina central.
Distribución de aplicaciones: el catálogo de software corporativo
Intune permite crear un portal de aplicaciones corporativas donde los empleados pueden instalar software aprobado con un clic, sin necesidad de permisos de administrador local.
Las aplicaciones pueden ser:
- Requeridas: Se instalan automáticamente en todos los dispositivos del grupo objetivo.
- Disponibles: El usuario puede instalarlas desde el Portal de empresa cuando las necesite.
- Desinstaladas: Se eliminan automáticamente si ya no son necesarias o si el usuario sale de la empresa.
Esto elimina la necesidad de scripts de PowerShell, GPOs complejas o visitas presenciales para instalar software.
Integración con Microsoft Entra ID y Acceso Condicional
El verdadero poder de Intune se libera cuando se integra con Microsoft Entra ID (antes Azure AD) para implementar Acceso Condicional.
Una política típica podría ser: "Solo permitir acceso a SharePoint y Exchange Online desde dispositivos que estén inscritos en Intune Y marcados como conformes."
El resultado: si un empleado intenta acceder al correo corporativo desde un dispositivo personal no gestionado, recibe un mensaje indicando que debe inscribir su dispositivo o usar la aplicación de Outlook con MAM. El acceso desde navegadores no autorizados queda bloqueado automáticamente.
Métricas de éxito en implementaciones reales
En proyectos que he liderado en empresas de Guatemala, Costa Rica y Panamá, los resultados consistentes han sido:
- Reducción del 70% en tickets de soporte relacionados con configuración de dispositivos.
- Tiempo de onboarding reducido de 4 horas a 45 minutos con Autopilot.
- 100% de visibilidad sobre el estado de cumplimiento de todos los endpoints.
- Eliminación de GPOs legacy que nadie entendía y todos temían modificar.
Por dónde empezar
Si su organización ya tiene Microsoft 365 Business Premium o cualquier plan E3/E5, Intune ya está incluido en su licencia — solo necesita activarlo y configurarlo.
El punto de partida recomendado es siempre el mismo: comenzar con las políticas de cumplimiento y Acceso Condicional para los dispositivos existentes, antes de intentar gestionar la inscripción masiva. Esto le da visibilidad inmediata del estado de seguridad de su flota sin interrumpir la operación.
En Barona Enterprise hemos desarrollado un proceso de implementación de Intune en fases que permite a las organizaciones centroamericanas adoptar la plataforma gradualmente, sin el caos de una implementación masiva.
