Intune 2026: baseline Windows MDM e STIG audit senza perdere il controllo

Microsoft Intune nel 2026 sta diventando meno “pannello MDM” e più punto di controllo continuo per la postura dei client. Per chi gestisce piccole aziende, tenant Microsoft 365 o ambienti ibridi da homelab evoluto, la novità importante non è una singola impostazione magica: è il modo in cui baseline Windows MDM, audit STIG e controlli Entra ID iniziano a chiudere il cerchio tra configurazione, verifica e accesso.

Il punto pratico è questo: non basta più distribuire una security baseline una volta e dimenticarsene. Microsoft aggiorna le baseline, alcune impostazioni nuove non vengono applicate automaticamente ai profili creati prima dell'aggiornamento, e Intune sta introducendo controlli di audit più vicini al linguaggio compliance. Se non avete un processo, dopo qualche mese il tenant sembra “verde” solo perché nessuno sta guardando le differenze giuste.

Cosa cambia per un team IT piccolo

Le baseline di sicurezza Windows MDM restano un buon punto di partenza perché raccolgono impostazioni ragionevoli per Defender, firewall, blocco credenziali, privilegi locali, browser e superficie d'attacco. Il rischio, però, è trattarle come una configurazione universale. In produzione vanno considerate come template: si importano, si testano su un gruppo pilota, si documentano le eccezioni e poi si applicano in modo progressivo.

Nel 2026 Microsoft segnala anche aggiornamenti successivi alle baseline. Questo dettaglio è fondamentale: un profilo creato mesi fa può non includere automaticamente una nuova impostazione aggiunta da Microsoft. Per un SysAdmin significa che la checklist mensile deve includere il confronto tra baseline pubblicata e profili effettivamente assegnati. È noioso, ma evita di scoprire durante un incidente che una protezione “presente nella baseline” in realtà non era attiva sui device.

L'altra direzione interessante è la presenza di una STIG audit baseline in Intune. Non è la stessa cosa di dire “il mio ambiente è certificato”, ma è utile perché consente di misurare i dispositivi Windows rispetto a configurazioni raccomandate e più severe. Per PMI e consulenti è un ottimo strumento di gap analysis: non bisogna applicare tutto alla cieca, ma si può capire dove l'ambiente è debole e quali deviazioni sono motivate da esigenze reali.

Un flusso operativo sensato

Io eviterei l'approccio “abilita tutto e poi spegni quello che rompe”. Su Windows gestiti da Intune è molto più pulito lavorare a ondate.

Prima create tre gruppi Entra ID: pilota IT, early adopters e produzione. Il gruppo pilota deve contenere macchine diverse: notebook recente, desktop con software legacy, utente standard, utente amministrativo, magari un device remoto sempre in VPN. Se testate solo il portatile dell'admin, il test non vale quasi nulla.

Poi duplicate la baseline Microsoft in un profilo vostro, con naming chiaro. Un esempio pratico:

SEC-WIN11-Baseline-MDM-2026-Pilot
SEC-WIN11-Baseline-MDM-2026-Prod
AUD-WIN11-STIG-2026-ReportOnly

La baseline di audit STIG, quando disponibile nel tenant, va inizialmente usata per osservare. La tentazione di trasformare ogni finding in una remediation immediata è forte, ma sbagliata: alcune impostazioni possono impattare applicazioni gestionali, driver, VPN, stampanti, tool di assistenza remota o vecchi add-in Office. Il valore dell'audit è prioritizzare.

Checklist mensile per non perdere drift

Una routine concreta può stare in 30-45 minuti al mese:

1. leggere il changelog “What's new in Microsoft Intune”;
2. controllare se la baseline Windows MDM ha nuove impostazioni o modifiche;
3. confrontare i profili esistenti con la baseline aggiornata;
4. verificare errori e conflitti in Device configuration;
5. rivedere i report di compliance e non solo lo stato “compliant/non compliant”;
6. esportare o documentare le eccezioni approvate;
7. testare le modifiche sul gruppo pilota per almeno qualche giorno lavorativo;
8. promuovere in produzione solo con rollback chiaro.

Il rollback non deve essere improvvisato. Per ogni profilo critico conviene sapere quale gruppo rimuovere, quale impostazione disattivare e quale impatto aspettarsi. In Intune i tempi di applicazione non sono istantanei: se una policy rompe una VPN, dire “l'ho disassegnata” non significa che l'utente tornerà operativo in dieci secondi.

Collegare compliance e accesso condizionale

La parte Entra ID è dove la postura del device diventa davvero utile. Una policy di Conditional Access può richiedere dispositivo conforme, MFA resistente al phishing o condizioni diverse in base ad app, rischio e piattaforma. Le novità Entra del 2026 spingono ancora in quella direzione: più piattaforme supportate, autenticazione moderna e controlli più granulari.

Il consiglio pratico è non partire bloccando tutto. Una buona sequenza è:

• report-only per capire chi verrebbe bloccato;
• esclusione documentata per account break-glass;
• applicazione iniziale alle app più sensibili, come Exchange Online, SharePoint e portali amministrativi;
• richiesta di dispositivo conforme per gli amministratori prima che per tutti gli utenti;
• revisione periodica degli utenti esclusi.

Gli account break-glass devono esistere, ma non devono diventare la scusa per aggirare il modello. Password lunga, niente uso quotidiano, monitoraggio degli accessi e test periodico sono il minimo.

Errori comuni che vedo spesso

Il primo errore è confondere compliance con sicurezza reale. Un device può risultare conforme perché rispetta le regole minime definite, non perché sia immune da attacchi. Se la policy è debole, lo stato verde è solo cosmetica.

Il secondo è creare troppe policy sovrapposte. Intune permette di configurare la stessa area da più punti: security baseline, endpoint security, configuration profiles, compliance policies. Senza naming e ownership diventa difficile capire chi impone cosa. Meglio pochi profili chiari che venti policy nate da test mai ripuliti.

Il terzo è ignorare l'esperienza utente. Bloccare macro, script, dispositivi USB o protocolli legacy può essere corretto, ma va comunicato. Il miglior hardening fallisce se il giorno dopo il reparto amministrativo non riesce a firmare documenti o stampare fatture.

Una baseline minima consigliata

Per un ambiente Microsoft 365 piccolo ma serio, partirei così:

• MFA obbligatoria per tutti, phishing-resistant per admin e ruoli sensibili;
• Conditional Access in report-only prima della forzatura;
• compliance policy Windows con cifratura, Defender attivo, firewall attivo e versione minima supportata;
• security baseline Windows MDM applicata a pilota e poi produzione;
• audit STIG usato come radar, non come martello;
• account locali amministrativi gestiti con criterio, idealmente con LAPS;
• revisione mensile di esclusioni, errori policy e dispositivi inattivi.

Questa non è una configurazione “enterprise cosplay”. È il minimo per evitare che un tenant cresca senza controllo. Intune ed Entra ID danno strumenti potenti, ma il vantaggio reale arriva quando li trasformate in processo: test, misura, eccezioni documentate e rollout graduale. Nel 2026 la differenza tra un ambiente gestito bene e uno fragile sarà sempre meno la presenza di una singola feature e sempre più la disciplina con cui vengono mantenute le configurazioni nel tempo.

Fonti

• Microsoft Learn, What's new in Microsoft Intune: https://learn.microsoft.com/en-us/intune/whats-new/
• Microsoft Learn, Windows MDM security baseline settings reference: https://learn.microsoft.com/en-us/intune/device-security/security-baselines/ref-windows-mdm-settings
• Microsoft Tech Community, What's New in Microsoft Entra: June 2026: https://techcommunity.microsoft.com/blog/microsoft-entra-blog/whats-new-in-microsoft-entra-june-2026/4517885