Urządzenia i przejście na Windows 11
Laptopy z aktualizacjami i szyfrowaniem.
Pierwszy rok płatnych aktualizacji bezpieczeństwa Windows 10 (ESU, Extended Security Updates) zakończył się 13 października 2026 r. Konfiguruję Intune jednorazowo dla wszystkich urządzeń w firmie: rejestrację, zgodność, pierścienie aktualizacji i ochronę w Microsoft Defender. Do tego plan dla ostatnich laptopów z Windows 10 i procedura cyklu życia urządzeń, którą Państwo prowadzą sami.
- Szyfrowanie dysku BitLocker
- Secure Boot
- Code integrity
- Moduł TPM
- Windows Firewall
- Microsoft Defender: Real-time protection
- Minimalny numer kompilacji systemu (Windows 10 22H2)
- Minimalna długość hasła
- Blokada po bezczynności, w minutach
- Dopuszczalny poziom zagrożenia urządzenia
- Dla kogo
- IT manager albo osoba odpowiedzialna za IT w firmie, której tenant ma do 100 urządzeń, z laptopami z Windows 10 na płatnych aktualizacjach ESU albo z urządzeniami, którymi nikt nie zarządza.
- Wielkość
- Jeden tenant do 100 urządzeń, Windows i Mac.
- Kto pracuje
- Michał, osobiście, bez podwykonawców.
- Po rozmowie
- Pisemny zakres prac po polsku i cena, zanim cokolwiek zmienię na Państwa urządzeniach.
Co zostaje u Państwa
Rejestracja skonfigurowana raz
Windows Autopilot do rejestracji bez ręcznej konfiguracji każdego laptopa, Apple Automated Device Enrollment tam, gdzie są komputery Mac, oraz Conditional Access, który przed dostępem do danych wymaga zarejestrowanego i zgodnego urządzenia.
Polityki zgodności i konfiguracji
Szyfrowanie dysku wymuszone, z zachowanymi kluczami odzyskiwania, minimalna wersja systemu i poziom poprawek, przy których urządzenie niezgodne nie dostaje dostępu, zdalna blokada komputerów Mac oraz selektywne wymazanie danych firmowych na Windows i Mac.
Pierścienie aktualizacji i dystrybucja aplikacji
Aktualizacje i zarządzane aplikacje trafiają najpierw do pierścienia pilotażowego, potem do szerokiego, z jednym profilem urządzenia na rolę, żeby każdy nowy pracownik dostawał tę samą konfigurację.
Ochrona urządzeń w Microsoft Defender
Każde zarejestrowane urządzenie raportuje do Defender for Business (w Business Premium) albo do Defender for Endpoint (w Microsoft 365 E3 lub Microsoft 365 E5), zależnie od Państwa licencji, a alerty wymagające reakcji trafiają do osoby, którą Państwo wskażą. Nie prowadzę SOC ani MDR, nie pełnię dyżuru i nie obsługuję trwającego włamania. EDR (wykrywanie i reagowanie na urządzeniach) zawierają Defender for Business i Defender for Endpoint Plan 2 w Microsoft 365 E5, ale nie Plan 1 w Microsoft 365 E3.
Plan przejścia na Windows 11
Pozostałe urządzenia z Windows 10: które można uaktualnić do Windows 11 z zachowaniem danych i aplikacji, które trzeba wymienić, oraz kolejność i terminy przejścia, zanim skończą się płatne aktualizacje ESU.
Eksport polityk Intune i pakiet dowodów
Każda polityka zgodności i konfiguracji w formacie JSON oraz stan przed zmianą i po niej dla każdego zabezpieczenia, z właścicielem i zatwierdzeniem.
Runbook cyklu życia urządzeń
Przyjęcie, zmiana roli i odejście pracownika, w części dotyczącej urządzeń: inwentarz porównywany z danymi w Intune, krok zwrotu i wymazania urządzenia, blokada dostępu w dniu odejścia, z zapisem, kto i kiedy ją wykonał, oraz dowód przy wycofaniu urządzenia z użytku. Całość zamyka Exit Kit.
ZobowiązanieTerms of Service, sekcja 07
Jak przebiega praca
Odczytuję
Spisuję każde urządzenie, jego system, właściciela i to, czy jest zarejestrowane. Niczego przy tym nie zmieniam.
Testuję
Polityki trafiają najpierw do grupy pilotażowej. Jeśli Państwo chcą, może do niej należeć także Państwa własny laptop.
Wdrażam
Pozostałe urządzenia dostają zmiany kolejnymi pierścieniami, a po każdym pierścieniu sprawdzam wynik.
Przekazuję
Dostają Państwo eksport polityk Intune, pakiet dowodów, runbook, plan przejścia dla pozostałych urządzeń z Windows 10 i Exit Kit.
Czego zakres nie obejmuje
Sprzęt
Nie kupuję i nie naprawiam urządzeń. Plan przejścia wskazuje, które wymienić; kupują je Państwo, gdzie chcą.
Helpdesk i obsługa na miejscu
Helpdesk, naprawy na miejscu i zarządzanie telefonami poza konfiguracją bazową nie wchodzą w zakres.
Reszta tenanta
Conditional Access poza regułą dotyczącą urządzeń, role uprzywilejowane i poczta należą do osobnego zakresu.
Audyt i szacowanie ryzyka
Wdrażam techniczne środki bezpieczeństwa w Microsoft 365 i Entra ID. Nie przeprowadzam audytu, którego wymaga ustawa o krajowym systemie cyberbezpieczeństwa, a wdrożenie nie zastępuje ani tego audytu, ani szacowania ryzyka przez Państwa organizację.
Do sprawdzenia przed rozmową
Microsoft publikuje daty końca płatnych aktualizacji ESU dla Windows 10: pierwszy rok zakończył się 13 października 2026 r., drugi kończy się 12 października 2027 r., a trzeci i ostatni 10 października 2028 r.
Mapa przypisuje kontrole w Intune i Microsoft Defender do liter art. 8 ust. 1 pkt 2 ustawy o KSC, m.in. lit. k (kryptografia, w tym szyfrowanie) i lit. m (zarządzanie aktywami), z potrzebną licencją i zapisem dowodu. Obejmuje cały tenant Microsoft 365, nie tylko urządzenia. Przypisanie jest moim odczytem ustawy i jednym z możliwych sposobów wdrożenia, nie opinią o zgodności ani audytem.
Bezpłatna samoocena zabezpieczeń Microsoft 365 pyta m.in. o zgodność urządzeń w Intune, więc jeszcze przed rozmową mogą Państwo sprawdzić, gdzie są luki.
Ile to kosztuje
- Dzień pracy
- od 600 € bez VAT
- Stały zakres
- Cenę podaję na piśmie przed rozpoczęciem prac, po 30-minutowej rozmowie.
- Limit zakresu
- Jeden tenant do 100 urządzeń.
- Podstawa rozliczenia
- Za dni pracy albo za stały zakres, zapisany w zakresie prac.
- Od czego zależy cena
- Od liczby urządzeń, proporcji Windows i Mac, liczby pozostałych urządzeń z Windows 10 oraz tego, czy konfiguracja Intune już istnieje.
- Licencje
Intune Plan 1 i Defender for Business są w Microsoft 365 Business Premium; Microsoft 365 E3 ma Intune i Defender for Endpoint Plan 1, a Microsoft 365 E5 ma Intune i Defender for Endpoint Plan 2. Drugi rok ESU dla Windows 10 trwa do 12 października 2027 r., a wejście teraz oznacza zapłatę za rok pierwszy i drugi.
Licencje kupują Państwo u swojego dostawcy, na podstawie własnej umowy z Microsoft. Cena zakresu ich nie obejmuje. Jeśli element zakresu wymaga licencji, której Państwo nie mają, mówię o tym przed zmianą, nie po niej.
- Waluta
- Euro, ceny bez VAT. Kwoty w złotych są orientacyjne, po kursie średnim NBP z podanego dnia; faktura jest w euro.
- VAT
- Firmy z UE spoza Malty, których numer VAT potwierdza system VIES, otrzymują fakturę z odwrotnym obciążeniem.
- Faktura
- Fakturę w euro wystawia Michal Jatczak, przedsiębiorca zarejestrowany na Malcie, działający pod nazwą handlową ITSailor.
- Poziom usług
- Bez SLA i bez dyżuru. Terminy zapisuję w zakresie prac.
- Warunki
Pytania
Czy potrzebna jest licencja Business Premium?
Niekoniecznie. Do prac potrzebne są Intune, Microsoft Defender i Conditional Access, który wymaga Entra ID P1. Business Premium zawiera Intune Plan 1, Defender for Business i Entra ID P1. Microsoft 365 E3 zawiera Intune, Entra ID P1 i Defender for Endpoint Plan 1, a Microsoft 365 E5 zawiera Intune, Entra ID P2 i Defender for Endpoint Plan 2. Przy innym planie wskazuję w projekcie zakresu prac, czego brakuje, zanim Państwo cokolwiek podpiszą. Licencje kupują Państwo u swojego dostawcy.
Co się stanie z naszymi laptopami z Windows 10?
Plan przejścia dzieli laptopy na trzy grupy: do uaktualnienia z zachowaniem danych i aplikacji, do wymiany i pozostające na płatnych aktualizacjach ESU na ustalony czas. Pierwszy rok ESU zakończył się 13 października 2026 r. Drugi rok ESU dla Windows 10 trwa do 12 października 2027 r., a wejście teraz oznacza zapłatę za rok pierwszy i drugi. Trzeci i ostatni rok ESU kończy się 10 października 2028 r.
Czy rejestracja wymaga resetu laptopów?
Laptop dołączony do domeny Active Directory może w niej zostać i trafić do Intune bez resetu, jako urządzenie z Microsoft Entra hybrid join. Przejście takiego laptopa na samo Microsoft Entra ID Microsoft przewiduje tylko po resecie, więc robię je przy wymianie albo ponownej instalacji systemu, chyba że uzgodnimy inaczej dla danego urządzenia. Problemy znajduje najpierw grupa pilotażowa, a każdy pierścień rusza dopiero po sprawdzeniu poprzedniego.
Czy zajmuje się Pan prywatnymi telefonami?
Ochrona aplikacji z danymi firmowymi na prywatnych telefonach może wejść w skład konfiguracji bazowej. Pełne zarządzanie telefonami to osobny zakres.
Proszę zaplanować przejście na Windows 11, zanim skończy się drugi rok ESU.
Zakres ustalamy na 30-minutowej rozmowie po otrzymaniu briefu. Park urządzeń odczytuję, zanim cokolwiek zmienię.
Każde zlecenie doradcze kończy się Exit Kitem.