Výchozí Windows je nastavený tak, aby fungoval všude – v domácnosti, ve škole i ve firmě. Pro firemní počítač to ale znamená desítky zbytečně otevřených dveří: zastaralé ověřování, slabé zamykání, nevyužité ochrany přihlašovacích údajů. Bezpečnostní standardy (security baselines) v Microsoft Intune tyto dveře zavírají najednou – jedním profilem s nastavením, které doporučuje přímo bezpečnostní tým Microsoftu. V tomto článku vysvětlíme, jaké security baselines v Intune existují, co v praxi změní, kde způsobují problémy a jak je v malé firmě zavést bez výpadku práce.

Co jsou security baselines v Intune

Security baseline je předpřipravená sada stovek nastavení zabezpečení, kterou vydává Microsoft pro konkrétní produkt – Windows, Microsoft Defender, Microsoft Edge nebo aplikace Microsoft 365. Intune ji nabízí jako hotovou šablonu: vyberete ji, případně upravíte několik hodnot a přiřadíte skupině zařízení.

Podle dokumentace Microsoftu k security baselines v Intune připravuje tyto šablony stejný tým, který léta vydává bezpečnostní standardy pro skupinové zásady (Group Policy). Rozdíl je jen v doručení: místo doménového řadiče a GPO se nastavení posílají z cloudu na jakýkoli počítač zaregistrovaný v Intune, ať je v kanceláři, nebo u zaměstnance doma.

Prakticky to znamená, že nemusíte sami procházet stovky položek a zjišťovat, které jsou důležité. Základ máte hotový a řešíte jen výjimky, které vaše firma opravdu potřebuje.

Jaké bezpečnostní standardy jsou k dispozici

V centru pro správu Intune je najdete v sekci Zabezpečení koncového bodu › Standardní hodnoty zabezpečení (anglicky Endpoint security › Security baselines). Pro malou firmu jsou podstatné tyto:

• Security Baseline for Windows 10 and later – základ pro každý firemní počítač. Aktuální verze nesou označení podle verzí Windows (23H2, 24H2, 25H2, 26H2).
• Microsoft Defender for Endpoint baseline – nastavení antiviru, pravidel pro omezení možností útoku a ochrany sítě. Vyžaduje, aby zařízení měla licenci a splňovala předpoklady pro Defender for Endpoint.
• Microsoft Edge baseline – zabezpečení firemního prohlížeče (SmartScreen, rozšíření, zastaralé protokoly).
• Microsoft 365 Apps for Enterprise – zabezpečení Wordu, Excelu, Outlooku a dalších aplikací, například blokování rizikových maker a starých formátů souborů.
• Windows 365 Security Baseline – pro firmy, které používají cloudové počítače Windows 365.

Každý standard má několik verzí. Když Microsoft vydá novou, starší profily dál fungují, ale jejich nastavení už nejde měnit – nové úpravy provedete až po přechodu na nejnovější verzi.

Co baseline v praxi změní na počítači

Windows baseline obsahuje stovky položek. Pro představu, co se po nasazení na počítačích stane:

• Šifrování vyměnitelných disků – BitLocker se automaticky vyžaduje i pro USB disky, na které se zapisuje.
• Povinné heslo pro odemčení a automatické zamčení počítače po nečinnosti.
• Vypnuté zastaralé ověřování – například základní ověřování (Basic authentication) u vzdálené správy a slabé starší protokoly v síti.
• Ochrana přihlašovacích údajů – zapnutí funkcí, které ztěžují krádež hesel a tokenů z paměti počítače.
• Firewall a SmartScreen – zapnuté ve všech síťových profilech bez možnosti, aby je uživatel vypnul.
• Omezení automatického spouštění z externích médií a další drobnosti, které běžný uživatel nepozná, ale útočníkovi výrazně komplikují práci.

Proč to má smysl? Většina útoků na malé firmy nevyužívá nic exotického. Počítá s tím, že nikdo nezměnil výchozí nastavení. Na tom stojí i mezinárodně uznávané CIS Benchmarks, se kterými se doporučení Microsoftu z velké části shodují. Rozdíl je v tom, že baseline v Intune nasadíte během jednoho odpoledne.

Licence a předpoklady

Security baselines jsou součástí Microsoft Intune Plan 1. Ten je obsažený v Microsoft 365 Business Premium, takže většina malých firem, které už Intune používají, za ně nic navíc neplatí. Samotný standard ale nenahrazuje licenci produktu – baseline pro Defender for Endpoint jen nastavuje Defender, který musí být na zařízení licencovaný.

Další předpoklady:

• Počítače s Windows 11 (případně Windows 10 1809 a novějším) zaregistrované v Intune. Windows 10 skončil s podporou 14. října 2025, takže baseline je dobrý důvod dokončit přechod na Windows 11.
• Účet správce s rolí Intune, která má oprávnění pro security baselines. Nejméně privilegovaná vestavěná role je Policy and Profile Manager.
• Přehled o tom, jaké konfigurační profily už na zařízeních běží. Pokud nastavujete stejné věci přes konfigurační profily v Intune, hrozí konflikty.
• Skupiny zařízení v Entra ID – minimálně pilotní skupina a skupina všech firemních počítačů.

Zavedení security baselines krok za krokem

Bezpečnostní standard je silný nástroj, a proto ho nikdy nepřiřazujte rovnou všem počítačům. Doporučený postup pro firmu s 5 až 50 zařízeními:

1. Zmapujte stávající nastavení

Projděte existující profily v Intune: firewall, BitLocker, Defender, aktualizace, omezení zařízení. Zapište si, která oblast je kde nastavená. Pokud jste dříve používali Group Policy, porovnejte je s baseline – pomůže vám článek o skupinových zásadách přes Intune. Microsoft k tomu nabízí i Security Compliance Toolkit s nástrojem pro porovnání zásad.

2. Vytvořte profil z nejnovější verze

V Intune otevřete Zabezpečení koncového bodu › Standardní hodnoty zabezpečení, zvolte Security Baseline for Windows 10 and later a klikněte na Vytvořit profil. Profil pojmenujte srozumitelně, například „Windows baseline 26H2 – pilot”.

3. Upravte jen nutné výjimky

Výchozí hodnoty jsou podle Microsoftu téměř vždy ty nejpřísnější. Neměňte je plošně, ale projděte oblasti, kde víte o konkrétní potřebě – typicky firewall (slučování lokálních pravidel), BitLocker (pokud už ho máte ve vlastním profilu) a nastavení vzdálené správy. Každou změnu si zdokumentujte i s důvodem.

4. Přiřaďte pilotní skupině

Baseline nejdřív nasaďte na 2 až 3 počítače, ideálně na různé typy uživatelů – kancelář, účetní s oborovým softwarem a někoho, kdo hodně cestuje. Nezapomeňte i na svůj počítač správce. Pilot nechte běžet alespoň týden.

5. Vyhodnoťte reporty a konflikty

Intune u každého profilu ukazuje stav zařízení a přehled po jednotlivých nastaveních. Podle návodu k monitorování baseline zjistíte v reportu Per setting status, která nastavení hlásí chybu nebo konflikt, a v detailu zařízení uvidíte, který jiný profil stejnou položku nastavuje.

6. Rozšiřte na celou firmu

Když pilot proběhne bez problémů, přidejte skupinu všech firemních počítačů. Výjimky řešte vyloučenou skupinou nebo samostatnou instancí baseline s upravenými hodnotami – ne vypnutím ochrany pro všechny.

Na co si dát pozor: nejčastější problémy

Většina potíží po nasazení baseline má několik opakujících se příčin:

• Konflikty s jinými profily. Stejné nastavení nastavují dva profily s různou hodnotou a zařízení hlásí Conflict. Řešení: každou oblast spravovat jen na jednom místě. Pokud máte samostatně nastavený firewall ve Windows přes Intune nebo BitLocker přes Intune, nechte tyto položky v baseline jako nenakonfigurované.
• Rozdílná doporučení mezi standardy. Windows baseline a Defender baseline mohou stejnou položku nastavovat jinak. Microsoft výslovně upozorňuje, že rozhodnutí je na vás – vyberte si jeden zdroj pravdy.
• Starší zařízení v síti. Staré NAS, multifunkční tiskárny se skenováním do síťové složky nebo oborový software mohou spoléhat na zastaralé protokoly a přihlášení hosta. Po zapnutí baseline přestanou fungovat. Proto pilot s účetní, která skenuje faktury.
• Firewall a lokální pravidla. Výchozí nastavení baseline nemusí slučovat lokální pravidla firewallu s pravidly z Intune. Aplikace, které si při instalaci vytvoří vlastní výjimku, pak nemusí komunikovat.
• Virtuální počítače. Baseline pro Defender for Endpoint je podle Microsoftu optimalizovaná pro fyzická zařízení a pro virtuální počítače a VDI se nedoporučuje.
• Odebrání baseline. Když profil zrušíte, nemusí se všechna nastavení na zařízení vrátit do původního stavu. Odebrání proto plánujte stejně pečlivě jako nasazení.

Jak baseline zapadá do zbytku zabezpečení

Security baseline není samostatné řešení, ale vrstva, na které stojí další opatření. V dobře spravovaném prostředí Microsoft 365 spolu fungují takto:

• Baseline nastaví bezpečné výchozí hodnoty Windows, Edge a Office.
• Zásady dodržování předpisů (compliance policies) kontrolují, že zařízení splňuje požadavky, a podmíněný přístup pustí k firemním datům jen vyhovující počítače.
• ASR pravidla v Microsoft Defenderu blokují typické techniky útoků, například spouštění skriptů z příloh.
• Microsoft Secure Score ukáže, jak se po nasazení zlepšilo celkové skóre zabezpečení, a navrhne další kroky.

Pořadí, které se v malých firmách osvědčilo: nejdřív compliance a podmíněný přístup, pak Windows baseline, potom Edge a Microsoft 365 Apps baseline a nakonec jemné ladění Defenderu.

Údržba: nové verze baseline

Microsoft vydává novou verzi Windows baseline zhruba s každou verzí Windows a průběžně aktualizuje i standardy pro Edge a Microsoft 365 Apps. Nová verze přidává nastavení, odstraňuje zastaralá a mění výchozí hodnoty podle aktuálních hrozeb.

Podle návodu ke správě profilů nemusíte vytvářet nový profil – stávající profil převedete na novou verzi přímo v Intune a vaše úpravy se zachovají. I tak doporučujeme novou verzi nejdřív vyzkoušet na pilotní skupině. Do kalendáře si dejte kontrolu verzí jednou za čtvrtletí.

Kolik práce to zabere a kdy si přizvat pomoc

U firmy s 10 až 30 počítači v Intune zabere příprava a pilot Windows baseline zhruba jeden až dva dny práce rozložené do dvou týdnů. Nejvíc času nespotřebuje samotné nastavení, ale testování oborového softwaru, tiskáren a síťových úložišť. Edge a Microsoft 365 Apps baseline jsou obvykle rychlejší.

Pokud Intune spravujete sami a nemáte čas zkoumat stovky položek a jejich dopady, můžete nastavení předat externímu správci. V rámci správy IT pro firmy baseline nasadíme, vyladíme výjimky a hlídáme nové verze.

Často kladené otázky

Jsou security baselines v Intune zdarma?

Jsou součástí licence Microsoft Intune Plan 1, která je obsažená v Microsoft 365 Business Premium. Za samotné standardy se nic nedoplácí, baseline pro Defender však vyžaduje licenci Defenderu na zařízení.

Můžu baseline nasadit bez úprav?

Technicky ano, ale nedoporučujeme to bez pilotu. Výchozí hodnoty jsou velmi přísné a mohou zablokovat starší tiskárny, síťová úložiště nebo oborový software. Začněte na dvou až třech počítačích.

Co když se baseline bije s mým konfiguračním profilem?

Zařízení nahlásí stav Conflict a dotčené nastavení se nemusí použít. Každou oblast spravujte jen na jednom místě a v baseline nechte duplicitní položky jako nenakonfigurované.

Platí baseline i pro Mac, iPhone a Android?

Ne. Security baselines v Intune jsou určené pro Windows (a pro Windows 365). Zařízení s macOS, iOS a Androidem zabezpečujete konfiguračními profily a zásadami ochrany aplikací.

Jak často je potřeba baseline aktualizovat?

Novou verzi vydává Microsoft zhruba jednou až dvakrát ročně pro každý standard. Stačí kontrola jednou za čtvrtletí a převod profilu na novou verzi po krátkém pilotu.

Shrnutí

Security baselines v Intune jsou nejrychlejší cesta, jak dostat firemní počítače s Windows na úroveň zabezpečení, kterou doporučuje Microsoft. Zmapujte stávající profily, vytvořte baseline z nejnovější verze, upravte jen nutné výjimky, otestujte ji na pilotní skupině a pak ji rozšiřte na celou firmu. Konflikty a chyby uvidíte v reportech a nové verze převedete jedním krokem. Chcete s nasazením bezpečnostních standardů pomoci? Ozvěte se nám a nastavíme je pro vaši firmu.