Un comercial pierde el móvil en un taxi. Dentro va su correo corporativo, el acceso a los documentos compartidos y la aplicación con los precios de todos los clientes. La pregunta que se hace la empresa en ese momento es siempre la misma: ¿podemos borrar eso desde aquí? Con Microsoft Intune la respuesta es sí, y en menos de un minuto. Sin él, la respuesta suele ser un silencio incómodo.
Qué es Microsoft Intune
Microsoft Intune es el servicio de Microsoft para gestionar desde un único sitio todos los dispositivos con los que trabaja una empresa: portátiles, ordenadores de sobremesa, móviles y tabletas. Da igual dónde estén y de quién sea el aparato.
Funciona en la nube, así que no hace falta montar ningún servidor para usarlo. Está incluido en varios planes de Microsoft 365 para empresas y se administra desde un panel web al que se entra con la cuenta corporativa.
La idea de fondo es dejar de perseguir equipos uno a uno. En vez de ir portátil por portátil comprobando si tiene el antivirus activo, el disco cifrado y las actualizaciones puestas, defines una política y el sistema la aplica a todos. Y a quien no la cumple, no le deja entrar en el correo de la empresa.
Para qué sirve en el día a día
Sobre el papel suena abstracto. Estas son las cosas concretas que resuelve.
- Preparar un equipo nuevo sin tocarlo. Llega el portátil de una persona que entra a trabajar, se enciende, se identifica con su cuenta y se instala solo lo que le corresponde por su puesto.
- Borrar en remoto lo de la empresa. Si un móvil se pierde o alguien deja la compañía, se elimina el correo y los archivos corporativos sin tocar las fotos personales.
- Obligar a lo básico. Código de desbloqueo, cifrado del disco, antivirus activo y actualizaciones al día como condición para acceder a los recursos internos.
- Repartir aplicaciones. Instalar, actualizar o retirar programas en todos los equipos a la vez, sin pasar por cada mesa.
- Saber qué hay. Un inventario que se mantiene solo: qué equipos existen, con qué sistema, quién los usa y cuáles llevan meses sin actualizarse.
El caso del móvil personal: BYOD sin dramas
Muchas empresas conviven con una realidad incómoda: media plantilla lee el correo de trabajo en su móvil particular. Nadie lo ha autorizado por escrito y nadie lo ha prohibido, así que pasa.
Intune permite ordenarlo sin convertirlo en un conflicto. En un dispositivo personal no se gestiona el aparato entero, se gestiona solo la aplicación: el correo corporativo queda en un compartimento del que no se pueden copiar datos a WhatsApp ni a la galería. Si la persona se marcha, se borra ese compartimento y su móvil sigue intacto.
Esa separación es lo que convierte una práctica que hoy es un agujero en algo controlado. Los riesgos de mezclar lo personal y lo corporativo están detallados en nuestro artículo sobre BYOD, y casi todos se cierran con una política bien puesta.
Acceso condicional: la parte que más aporta
Es la función que menos se conoce y la que más cambia la seguridad de una empresa. Consiste en poner condiciones a la entrada.
Con acceso condicional puedes decidir que al correo corporativo solo se entre desde un dispositivo registrado, con el sistema actualizado y desde España. Si alguien intenta entrar de madrugada desde otro país y con un equipo desconocido, no entra, aunque tenga la contraseña correcta.
Ahí está el valor: la contraseña deja de ser la única puerta. Combinado con la verificación en dos pasos, cierra la vía de entrada más usada hoy, que es el robo de credenciales por phishing.
La mayoría de los accesos indebidos no empiezan rompiendo nada: empiezan con una contraseña que alguien entregó sin darse cuenta. Poner condiciones al acceso es lo que convierte esa contraseña en insuficiente.
¿Tienes Microsoft 365 y no sabes si Intune está incluido en tu plan? Lo revisamos contigo y te decimos qué estás pagando y no estás usando.
Qué hace falta para ponerlo en marcha
No es un proyecto de meses, pero tampoco se activa y ya está. Estos son los pasos que sí o sí hay que dar.
- Comprobar las licencias. Intune viene incluido en varios planes de Microsoft 365 para empresas. Muchas compañías lo tienen contratado sin saberlo.
- Poner orden en las cuentas. Si el directorio de usuarios está sucio —cuentas de gente que ya no está, grupos duplicados—, las políticas se aplican mal. Esto es lo que más tiempo lleva.
- Decidir la política, no copiarla. Qué se exige a un portátil de la empresa, qué a un móvil personal y qué a un equipo de un colaborador externo. Son tres respuestas distintas.
- Empezar por un grupo pequeño. Primero un departamento, se ajusta lo que moleste y después el resto. Aplicar una política restrictiva a toda la plantilla el mismo día es la forma más rápida de tener a todo el mundo en contra.
- Documentar quién administra. El panel de Intune manda sobre todos los equipos: quién entra ahí tiene que estar decidido y escrito.
Una empresa de veinte o treinta personas puede tener esto funcionando en unas semanas, y la diferencia se nota el primer día que alguien pierde un móvil o entra alguien nuevo. Es la clase de trabajo que encaja dentro del mantenimiento informático y que evita las urgencias de después.
Un equipo nuevo, listo sin que nadie lo toque
Esta es la parte que más ahorra en empresas que crecen o que rotan personal. Se llama aprovisionamiento automático y funciona así.
El proveedor entrega el portátil precintado, directamente a casa de la persona que entra. Ella lo enciende, se conecta a su wifi y escribe su cuenta corporativa. A partir de ahí el equipo se configura solo: aplica las políticas de la empresa, cifra el disco, instala Office, el antivirus y las aplicaciones de su departamento, y conecta la impresora que le toca.
Nadie ha ido a la oficina a preparar la máquina y nadie ha pasado media mañana con ella. En una empresa que incorpora a cinco personas al año no parece mucho; en una que rota veinte, son semanas de trabajo técnico al cabo del ejercicio.
Ese ahorro no se queda en los equipos: avisos, aprobaciones y traspasos de datos entre aplicaciones también se delegan a flujos automáticos con Power Automate.
El mismo mecanismo sirve para el final: cuando alguien se marcha, se retira su acceso, se borra la parte corporativa del equipo y este queda listo para la siguiente persona sin pasar por una reinstalación manual.
Qué no hace Intune
Conviene decirlo claro, porque genera falsas tranquilidades y hemos visto empresas creyéndose cubiertas de cosas que no lo estaban.
- No es una copia de seguridad. Gestiona el dispositivo, no guarda los datos. Si alguien borra una carpeta compartida, Intune no la recupera.
- No sustituye al antivirus. Lo que hace es comprobar que el antivirus está activo y actualizado, y bloquear el acceso al que no cumpla.
- No vigila lo que hace la gente. No lee correos ni ve la pantalla. Sirve para gestionar equipos, no para controlar personas, y conviene decirlo cuando se presenta a la plantilla.
- No arregla un directorio desordenado. Si las cuentas de usuario están mal, las políticas se aplican a quien no toca. Ordenar eso es trabajo previo.
Cuánto cuesta y dónde está el gasto
El coste de licencia depende del plan de Microsoft 365 que tenga la empresa: en varios planes para empresas viene incluido, y también existe la opción de contratarlo aparte por usuario y mes. Antes de comprar nada, lo sensato es abrir el panel de administración y comprobar qué se está pagando ya.
El gasto de verdad está en el montaje: definir las políticas, registrar los equipos existentes, preparar los paquetes de aplicaciones y acompañar a la plantilla las primeras semanas. Es un trabajo que se hace una vez y que después se mantiene con poco.
Puesto al lado de lo que cuesta el incidente que evita —un portátil perdido con documentación de clientes dentro, o una cuenta comprometida— la cuenta sale sola. Y en empresas obligadas a acreditar medidas de seguridad, la gestión centralizada de dispositivos es una de las evidencias que se piden.
Intune dentro del conjunto
No funciona solo. Se apoya en el directorio de identidades de Microsoft, que es donde viven los usuarios y los grupos, y se coordina con la verificación en dos pasos y con el acceso condicional. Esas tres piezas juntas son las que forman una defensa razonable.
Si en tu empresa el correo va por Microsoft 365 pero los equipos se configuran uno a uno a mano, tienes media casa montada y la otra media al aire. Ordenar primero el tenant y después los dispositivos es la secuencia que menos sorpresas da.
Qué medir cuando ya está funcionando
Una vez desplegado, conviene revisar cuatro cifras cada mes. Son las que dicen si aquello sigue vivo o se ha quedado en decoración.
- Equipos registrados frente a equipos reales. Si en el panel hay veinte y en la empresa hay veintiséis, alguien trabaja fuera del control.
- Equipos que incumplen alguna política y desde cuándo. Un incumplimiento de tres meses no es un aviso: es una política que nadie hace cumplir.
- Dispositivos sin actividad reciente. Suelen ser equipos de gente que ya se fue, y siguen con acceso.
- Accesos bloqueados por acceso condicional. Sirven para detectar tanto ataques como políticas demasiado estrictas.
Cómo se vive esto desde dentro de la empresa
Vale la pena describir el antes y el después en una compañía de veinticinco personas, porque es el tamaño en el que más se nota y donde más dudas surgen.
Antes. Cada portátil se configuró en su día como se pudo. Tres tienen el antivirus caducado y nadie lo sabe. El disco no está cifrado en ninguno. Media plantilla lee el correo en su móvil y no hay política de nada. Cuando entra alguien, un técnico dedica media jornada a preparar el equipo. Cuando alguien se va, se le quita el correo y se confía en que borre lo demás.
Después. Todos los equipos aparecen en un panel con su estado. El que no cumple una condición no accede al correo hasta que la cumple. El portátil de una incorporación llega precintado a su casa y se configura solo. El móvil personal tiene el correo en un compartimento separado. Cuando alguien se marcha, se retira el acceso y se borra la parte corporativa desde el panel, en un minuto y sin pedirle nada.
Lo que cambia no es la tecnología: es que las cosas dejan de depender de que alguien se acuerde. Y eso es justamente lo que se rompe cuando la empresa crece o cuando el técnico de siempre está de vacaciones.
Con las incidencias del día a día pasa lo mismo: en cuanto existe un canal de soporte con tickets y responsables definidos, atender una avería deja de depender de a quién se pille en el pasillo.
Hay además un efecto que no se suele contar: la conversación con la plantilla mejora. Cuando existe una política escrita y explicada, deja de haber discusiones sobre qué se puede y qué no en el móvil de cada uno. Está decidido, es igual para todos y se sabe qué ve la empresa y qué no.
La pregunta con la que empezaba este artículo —¿podemos borrar eso desde aquí?— tiene solo dos respuestas posibles, y la empresa elige cuál va a dar el día que pase. Gestionar los dispositivos de forma centralizada no es una moda ni una capa más de burocracia: es lo que convierte un incidente en un trámite de un minuto.
Y hay algo que conviene comprobar antes de valorar nada: muchas empresas ya están pagando esta capacidad dentro de su plan de Microsoft 365 y no la han activado nunca. Mirar la licencia es gratis y a veces resuelve la mitad de la conversación.
Preguntas frecuentes sobre Microsoft Intune
Es el servicio de Microsoft para gestionar en remoto los dispositivos de una empresa —portátiles, sobremesas, móviles y tabletas— desde un único panel en la nube. Sirve para configurarlos, instalarles aplicaciones, exigirles medidas de seguridad y borrar los datos corporativos si se pierden.
Está incluido en varios planes de Microsoft 365 para empresas y también se puede contratar por separado. Conviene revisar el plan actual antes de comprar nada: es habitual descubrir que ya se está pagando.
No. En un dispositivo personal se gestiona solo la parte corporativa: el correo y las aplicaciones de trabajo. La empresa no ve las fotos, los mensajes ni las aplicaciones particulares, y al borrar en remoto solo se elimina el compartimento de trabajo.
Sí. Gestiona Windows, macOS, Android e iOS. Las opciones disponibles cambian según el sistema, pero lo esencial —exigir cifrado, repartir aplicaciones y borrar en remoto— funciona en todos.
En una empresa de veinte o treinta personas, unas semanas. Lo que marca el plazo no es la herramienta, sino ordenar antes las cuentas de usuario y decidir qué se le va a exigir a cada tipo de dispositivo.
¿Qué pasaría hoy si alguien pierde el portátil de la empresa?
Revisamos tus licencias de Microsoft 365, montamos las políticas que necesita tu empresa y dejamos los equipos bajo control. Sin frenar a nadie en su trabajo.
Hablemos de tus dispositivos Sin compromiso · Respuesta en menos de 24 h
