Grande parte das empresas já possui o licenciamento Microsoft 365 E3, mas na prática utiliza menos de 30% do que ele oferece.

E o cenário se repete:

• Antivírus de terceiro convivendo com o Defender
• Ferramentas externas para gerenciamento de dispositivos
• Ambientes ainda dependentes de GPO
• Nenhum controle real sobre dados sensíveis

Na prática, isso significa uma coisa:

custo duplicado e baixa maturidade de segurança.

A boa notícia é que o próprio M365 E3 já permite construir uma arquitetura completa — desde o dispositivo até o dado.

E é exatamente esse caminho que sigo nos projetos.

A lógica por trás da implementação

Em vez de sair criando políticas aleatórias, eu sigo uma ordem lógica:

Dispositivo → Segurança → Identidade → Dados

Ou, traduzindo para ferramentas:

Intune + Defender → Entra ID → Purview

Intune + Defender: onde tudo começa

Tudo começa pelo dispositivo.

Se você não tem controle do endpoint, não tem controle de nada.

Segurança aplicada na prática

Aqui é onde muita gente complica — mas na prática, o objetivo é simples:

criar um padrão de segurança consistente e escalável.

Dentro desse cenário, eu trabalho com alguns pilares:

• Regras de Attack Surface Reduction (ASR)
• Antivírus e Firewall via Defender
• Security Baselines do Intune
• Hardening baseado em boas práticas (como o CIS)

Mas o ponto mais importante não é a ferramenta em si.

É o modelo que você segue.

Estruturando o hardening de forma correta

Em vez de sair criando política manual, eu utilizo o benchmark CIS como referência. (https://www.cisecurity.org/benchmark/intune)

Isso garante:

• Padronização
• Segurança validada pelo mercado
• Consistência entre ambientes

Com isso também saimos do legado (GPO) para o modelo moderno

Em muitos ambientes, ainda existe uma forte dependência de GPO.

Para isso, utilizo o GPO Analytics do Intune, que ajuda a: (https://learn.microsoft.com/en-us/intune/intune-service/configuration/group-policy-analytics)

• Entender o que já existe
• Identificar o que pode ser migrado
• Modernizar o ambiente sem quebrar nada
• Migrar as políticas minizando esforço

Onde o Intune + Defender realmente fazem diferença

Aqui acontece a virada de chave.

Quando o Defender é integrado ao Intune:

• As políticas de segurança passam a ser gerenciadas pelo próprio Intune
• Tudo fica centralizado
• Segurança e gerenciamento deixam de ser separados

Na prática, isso significa:

• Antivírus
• Firewall
• ASR
• Hardening

Tudo controlado em um único lugar.

Resultado

Mesmo com Defender P1, já é possível atingir um nível alto de proteção quando você combina:

• Boas práticas (CIS)
• Baselines
• Intune
• Defender

Segurança não vem de uma ferramenta.
Vem da forma como você conecta tudo.

Defender for Office: protegendo a porta de entrada

A maioria dos ataques começa pelo e-mail.

E mesmo no E3, já conseguimos trabalhar bem essa camada.

---

O que normalmente configuro

• Anti-phishing
• Anti-spam
• Safe Links
• Safe Attachments

Entra ID: controle de acesso inteligente

Depois de estruturar dispositivo e segurança, entro na identidade.

Aqui está um dos maiores ganhos de maturidade.

---

O que aplico nessa camada

• MFA para todos os usuários
• Acesso Condicional baseado em contexto
• Bloqueio de dispositivos não conformes
• SSPR (Self-Service Password Reset)
• Password Protection

Na prática, isso significa:

Se o dispositivo não atende aos requisitos:

• Sem BitLocker
• Sem antivírus
• Fora de padrão

Ele simplesmente não acessa o ambiente.

---

Esse é o ponto onde segurança deixa de ser opcional
e passa a ser obrigatória por design.

Purview: quando o foco passa a ser o dado

Depois que o ambiente está controlado, o próximo passo é proteger o que realmente importa:

a informação

---

O que implemento aqui

• Classificação com rótulos de sensibilidade
• Políticas de DLP
• Controle de compartilhamento
• Governança do ciclo de vida da informação

O resultado desse modelo

Quando esses pilares trabalham juntos, o ambiente muda completamente.

Você passa a ter:

• Controle real dos dispositivos
• Segurança integrada
• Acesso baseado em risco
• Proteção de dados sensíveis
• Redução de ferramentas externas

Conclusão

No final das contas, o problema raramente é falta de tecnologia.

É falta de estratégia.

Muitas empresas já possuem tudo isso dentro do Microsoft 365 E3, mas continuam operando como se estivessem em um ambiente legado.