iOS- en iPadOS-updates met Sophos Mobile beoordelen

Dit overzicht beschrijft gedocumenteerde functies en beperkingen, geen resultaten die in de eigen tenant of op een apparaat zijn bevestigd. De bevoegdheden en interface in de tenant, de daadwerkelijk geldende richtlijnen, het gedrag van apparaten en het herstel zijn niet in de praktijk getoetst.

De updateroute kiezen

1. Apparaat controleren: Controleer in de betreffende Sophos Mobile-tenant de bevoegdheden en beschikbare menuopties, de beheermodus, het toezicht en de iOS-/iPadOS-versie van het doelapparaat. Bij Sophos is Apple Device Enrollment de beheermodus voor het hele apparaat; Automated Device Enrollment (ADE) via Apple Business is een inschrijfmethode waarbij iPhones en iPads onder toezicht worden geplaatst. Bij Apple Configurator 2 hangt toezicht af van de configuratie: het volgt niet automatisch uit de Sophos-modus. Apple User Enrollment voor privéapparaten beheert alleen instellingen, apps en gegevens van het beheerde Apple-account; deze apparaten kunnen niet onder toezicht staan en voldoen niet aan de vereiste beheermodus voor de hier beschreven declaratieve updateconfiguraties. Mobile Threat Defense alleen beheert de Intercept X-app, niet het apparaat als MDM-apparaat.

2. Doel kiezen: De drie onderstaande richtlijnconfiguraties gebruiken Apple declarative device management (DDM), het moderne protocol van Apple voor Mobile Device Management (MDM). Bij klassiek MDM stuurt Sophos Mobile afzonderlijke instellingen aan en vraagt het de apparaatstatus met regelmatige tussenpozen op. DDM gebruikt daarentegen asynchrone communicatie tussen het apparaat en Sophos Mobile: u geeft een gewenste toestand op; het apparaat is verantwoordelijk voor het bereiken en behouden daarvan. Het meldt wijzigingen onmiddellijk, zodat Sophos Mobile kan reageren zonder op de volgende periodieke synchronisatie te wachten. Dit beschrijft het beheermodel, maar garandeert geen onmiddellijk bijgewerkte consoleweergave of installatie; toewijzing alleen blijft onvoldoende bewijs dat een update is geïnstalleerd.

Eenmalig op één apparaat de nieuwste update controleren/starten: klassieke apparaatactie, alleen voor apparaten onder toezicht met iOS/iPadOS 26 of ouder. Bij 26 overlapt dit met de declaratieve routes; voor 27 of nieuwer verwijst Sophos in plaats van deze apparaatactie naar declaratieve richtlijnen.
Aangeboden versies en automatische updates beheren: Software update settings, iOS/iPadOS 26 of nieuwer, Apple Device Enrollment en toezicht.
Een specifieke OS-versie met een deadline voorschrijven: Enforced software update, iOS/iPadOS 26 of nieuwer, Apple Device Enrollment.
Een aanvullende beveiligingspatch met een deadline voorschrijven: Enforced Background Security Improvement (BSI), iOS/iPadOS 26 of nieuwer, Apple Device Enrollment en een al geïnstalleerde, passende basis-OS-versie. BSI is geen upgrade van de basisversie.

De Sophos-pagina’s over de twee Enforced-configuraties noemen toezicht niet afzonderlijk als voorwaarde. Dat betekent niet dat deze geschikt zijn voor apparaten zonder toezicht; stel hun geschiktheid vast in de pilot.

Let op vóór elke afdwinging: Een doorgestuurde opdracht of ingestelde deadline bewijst niet dat de update is geïnstalleerd. Tijdstippen gelden in de lokale tijd van het apparaat; ontbrekende netwerkverbinding, onvoldoende batterij of opslagruimte en omstandigheden rond de gebruiker of toegangscode kunnen vertraging veroorzaken. Een gestarte update kan niet betrouwbaar worden afgebroken; door de richtlijn te verwijderen wordt een geïnstalleerde OS-versie niet teruggedraaid. Controleer na een nieuwe apparaatverbinding en na de deadline de daadwerkelijk geïnstalleerde OS-/buildversie en zo nodig de BSI-status op het pilotapparaat.

3. Pilot voorbereiden: Controleer de bestaande situatie, de gereedheid van apparaten en de herstelmogelijkheden voordat je de richtlijn toewijst. Wijzig nog niet uitgevoerde voorschriften alleen binnen de goedgekeurde pilotomvang en controleer na synchronisatie welke gewenste toestand daadwerkelijk van kracht is; in het volgende gedeelte staan de controle- en bewijsstukken.

Wat de vier functies wel en niet doen

Afzonderlijk apparaat, klassiek: Op een apparaat onder toezicht met iOS/iPadOS 26 of ouder toont het door Sophos beschreven pad Devices > [pijl bij het apparaat] > Show > Actions > Show available updates de beschikbare updates; Install latest available update maakt een opdracht aan en verstuurt die. Controleer het precieze klikpad in de eigen tenant. Critical duidt kritieke beveiligingsupdates aan volgens de classificatie van Apple. Sophos noemt voor apparaatgroepen de taakbundel Install latest iOS update, maar toont op deze pagina niet aan dat deze geschikt is voor iOS/iPadOS 27 of nieuwer. De grens ‘26 of ouder’ geldt uitdrukkelijk voor de apparaatactie Show available updates; het is geen aangetoonde grens voor de taakbundel.
Aanbod en automatische updates: Software update settings (iOS/iPadOS 26+, Apple Device Enrollment, onder toezicht) bepaalt welke beschikbare OS-versies worden aangeboden: Current version de laagste, Latest version de hoogste of All versions alle versies. Automatisch downloaden, installeren van het OS en installeren van Background Security Improvements (aanvullende beveiligingspatches, afgekort BSI) kunnen afzonderlijk worden ingesteld op gebruikerskeuze, altijd ingeschakeld of altijd uitgeschakeld. Major and minor updates (days) stelt grote en kleine OS-updates 0 tot 90 dagen na publicatie uit; dit uitstel geldt niet rechtstreeks voor BSI. Als de nieuwste passende kleine OS-versie is uitgesteld of nog niet is geïnstalleerd, kan een BSI die daarop voortbouwt toch indirect vertraging oplopen totdat die basisversie is geïnstalleerd. Daarmee wordt geen specifieke buildversie vóór een deadline afgedwongen.
OS-versie met deadline: Enforced software update (iOS/iPadOS 26+, Apple Device Enrollment) schrijft een geselecteerde OS-versie en optioneel een bijpassende buildversie voor. Zonder patchnummer wordt de nieuwste beschikbare patchversie van de gekozen versie geïnstalleerd. Enforcement date and time geldt in de lokale tijd van het apparaat. Dit is een concreet versievoorschrift, geen algemene strategie voor het aanbieden of automatiseren van updates. Enforced software update alleen dwingt geen specifieke BSI af; daarvoor is ook de afzonderlijke configuratie Enforced Background Security Improvement nodig.
Aanvullende patch met deadline: Enforced Background Security Improvement (iOS/iPadOS 26+, Apple Device Enrollment) dwingt een beschikbare BSI-patch af op de al geïnstalleerde, passende basis-OS-versie, niet een upgrade naar een andere OS-versie. Sophos raadt aan de richtlijn ook van Enforced software update te voorzien, zodat de basisversie beschikbaar is; die tweede configuratie is geen onvoorwaardelijke vereiste voor een apparaat waarop de passende basis al aanwezig is. Als beide configuraties worden gebruikt, kies dan dezelfde basis-OS-versie; voor gefaseerde afdwinging laat Sophos als voorbeeld zien dat de BSI-deadline na de deadline voor de basisupdate valt. Beide tijdstippen gelden in de lokale tijd van het apparaat. Een BSI kan alleen worden geselecteerd voor een versie waarvoor een BSI beschikbaar is. Ook met beide configuraties is de installatie niet gegarandeerd.

Volgens Sophos kan de declaratieve richtlijn naast een klassieke iOS-apparaatrichtlijn bestaan, en bij Apple User Enrollment zelfs naast een iOS-gebruikersrichtlijn. Deze co-existentie op richtlijnniveau heft de voorwaarden voor de updateconfiguraties niet op; test de wisselwerking met bestaande klassieke beperkingen.

Pilot: bestaande situatie, gereedheid en bewijs

Bestaande situatie vastleggen: Leg het doelapparaat en de groep, bestaande klassieke en declaratieve updatevoorschriften, uitstelperiodes, automatische downloads/installaties, meldingen, aangeboden OS-/buildversies en beschikbare BSI’s vast. Leid de voorrang en werking van bestaande beperkingen niet af uit het feit dat richtlijnen naast elkaar kunnen bestaan.
Apparaat en gebruiker voorbereiden: Controleer compatibiliteit, netwerk, batterij, vrije opslagruimte, back-up, beschikbaarheid van de gebruiker/toegangscode en het goedgekeurde onderhoudsvenster. Minder Show all enforcement notifications betekent niet dat er geen meldingen komen: Sophos noemt nog steeds een melding een uur vóór het verstrijken van de termijn en het aftellen tot een herstart. Als Install automatically voor BSI is uitgeschakeld, biedt het apparaat deze niet aan de gebruiker aan. Allow rollback gaat alleen over het tonen van een aangeboden mogelijkheid voor gebruikers om een BSI terug te draaien, niet over het downgraden van een OS-versie door een beheerder.
Resultaat documenteren: Vergelijk na toewijzing en verbinding van het apparaat, ook na de deadline, de daadwerkelijk geldende gewenste toestand, de inschrijfmethode, het toezicht en de geïnstalleerde OS-/buildversie. Leg per pilotapparaat apparaat, gewenste OS-/buildversie, waargenomen OS-/buildversie, taak-/apparaatstatus en tijdstip vast; controleer bij BSI eerst de basisversie en daarna de status van de aanvullende patch/build. Volgens Sophos betekent het waarschuwingssymbool naast Operating system dat de nieuwste beschikbare versie niet is geïnstalleerd; OsUpdateAvailable is de bijbehorende kolom in het rapport Devices. Alleen apparaten onder toezicht melden deze updatestatus. Noch de aanduiding, noch een geslaagde overdracht van een opdracht bewijst dat de update is geïnstalleerd. Blijft een update uit, controleer dan netwerk, batterij, opslagruimte en aangeboden versies; uitvoering vóór de deadline is niet gegarandeerd.

Pilot stoppen of voorschrift wijzigen – geen gegarandeerde terugdraaiing: Een update die al is gestart, kan niet betrouwbaar worden afgebroken door de richtlijn te wijzigen; het verwijderen van de richtlijn draait een geïnstalleerde OS-versie niet terug. Wijzig nog niet uitgevoerde declaratieve voorschriften of toewijzingen alleen binnen de goedgekeurde pilotomvang en controleer na synchronisatie welke gewenste toestand daadwerkelijk van kracht is. Sophos documenteert Uninstall policy per apparaat niet als methode voor declaratieve iOS-richtlijnen; Update devices is daarvoor evenmin een algemene synchronisatiestap. Handel bij fouten alleen volgens een goedgekeurde procedure voor apparaatherstel en met een beveiligde back-up; voor het wissen van een apparaat is afzonderlijke goedkeuring vereist.

Geen onderdeel van de updateroute: DDM is niet beperkt tot updates; dit overzicht behandelt alleen iPhone-/iPad-updates, niet alle Apple-DDM-functies of hun beschikbaarheid in Sophos Mobile. Math settings is de vierde configuratie in het overzicht van declaratieve richtlijnen: op iPhones/iPads onder toezicht met iOS/iPadOS 26 of nieuwer regelt deze de rekenmachine, Math Notes en wiskundige toetsenbordsuggesties, niet OS-updates. Het onderdeel Math settings in het apparaatbeleid voor iPhones en iPads licht de afzonderlijke opties en het onopgeloste versieverschil tussen de Sophos-taalversies toe. Voor Macs gelden eigen configuraties en vereisten; gebruik daarvoor de handleiding voor macOS-updates met Sophos Mobile en neem de beperkingen voor iPhone/iPad niet over.

Vóór een daadwerkelijke uitrol of uitspraken over geteste resultaten: Valideer onafhankelijk op een pilotapparaat onder toezicht de bevoegdheden en UI in de tenant (inclusief klikpad en toewijzing), de daadwerkelijke wisselwerking tussen richtlijnen, de beschikbaarheid van updates, de feitelijke installatie/BSI na de deadline, meldingen en herstel. Zonder deze controle mag een installatie of BSI-werking niet als waargenomen worden gepresenteerd.