Intune : l’audit STIG Windows s’ouvre aux tenants commerciaux
Intune 2610 annonce l’audit STIG Windows dans les tenants commerciaux, avec une licence Intune Advanced Analytics. Les organisations ayant besoin de ce référentiel peuvent tester les rapports en lecture seule ; ce profil ne durcit pas les appareils et ne remplace pas les contrôles manuels.
- Impact
- appareils Windows enrôlés dans Intune, dans les organisations qui doivent évaluer leur configuration au regard des recommandations DISA STIG.
- Action
- sur un petit groupe Windows 11 déjà éligible et licencié, affecter le profil d’audit puis comparer quelques résultats à l’état réel des appareils.
- Statut
- À tester
Une extension de périmètre désormais documentée
Le journal Intune rattache l’ouverture commerciale à la semaine du 26 octobre 2026. Le guide STIG, consulté le 31 octobre, confirme les environnements commercial et GCC High, ainsi que la licence Advanced Analytics.
La page générale des baselines conserve encore une mention « GCC High only ». Les deux sources spécifiques — annonce et prérequis STIG — convergent désormais sur le commercial ; cette divergence résiduelle impose toutefois de vérifier l’offre réellement visible dans votre tenant avant de préparer un déploiement.
Le benchmark présenté est Microsoft Windows 11 STIG SCAP Benchmark, version 2, release 7, daté du 5 janvier 2026. Ce n’est pas un nouveau référentiel d’octobre. Le profil audite l’ensemble des contrôles automatisés pris en charge sans modifier les réglages et sans permettre de choisir individuellement les contrôles.
Préparer le périmètre
Le guide cite Windows 10 et Windows 11. Pour ce test, PatchFactory recommande Windows 11 pris en charge ; la présence de Windows 10 dans cette liste n’étend pas son cycle de support.
Les appareils doivent être enrôlés dans Intune. En cogestion Configuration Manager, la charge Device configuration doit relever d’Intune : position Pilot Intune pour les appareils du périmètre pilote, ou Intune. Ne pas déplacer une charge de production uniquement pour découvrir ce rapport.
Le compte doit pouvoir gérer les baselines ; la consultation des rapports exige aussi Device configurations > View Reports et les accès de périmètre appropriés.
Vérifier les résultats, pas seulement l’affectation
Dans Endpoint security > Security baselines > Microsoft Windows 11 STIG SCAP Benchmark, créer un profil et affecter les appareils de test. Ouvrir ensuite Audit report, puis Generate si nécessaire.
Microsoft indique que les premiers résultats peuvent demander 24 heures ou davantage. Un état Error initial peut correspondre à l’obtention des données, pas à un échec du contrôle de sécurité. Les résultats ne sont pas temps réel ; consulter le dernier contact de l’appareil et utiliser Generate again après réception de nouvelles données.
Choisir quelques règles dont l’état local est déjà connu, dont un écart existant sans dégrader volontairement la protection. Comparer Pass, Fail, Not applicable et Error au contrôle local. Poursuivre si les résultats concordent et si les écarts sont explicables ; sinon, vérifier ciblage, charge de cogestion et collecte avant toute généralisation.
Les règles nécessitant une vérification manuelle restent à traiter séparément. Une ligne Pass n’est ni une certification globale STIG ni une remédiation : les corrections doivent faire l’objet de stratégies distinctes et validées.
Les mises à jour de service Intune sont déployées progressivement. Vérifier la disponibilité dans votre tenant ; cette veille ne constate pas un déploiement universel.