Windows 10 уже год без обновлений безопасности. Что с этим делать в компании

Приветствую вас, коллеги!

14 октября 2025 года Microsoft прекратила поддержку Windows 10. С тех пор прошел год.

За этот год ничего не взорвалось. Компьютеры включаются, 1С работает, люди работают. Именно поэтому тема и ушла из разговоров - а зря))

Разберу по-инженерному: что реально изменилось, какие есть варианты и сколько каждый из них стоит.

Год прошел, ничего не сломалось - и это главная ловушка

Главное недопонимание темы звучит так: «нам говорили, что поддержка кончится, она кончилась, и ничего не произошло - значит, пугали зря».

Так это и работает. Прекращение поддержки - не выключатель. Система не перестает запускаться, программы не отваливаются, 1С не замечает разницы. Все выглядит ровно как раньше.

Меняется другое: риск перестал уменьшаться и начал накапливаться.

Раньше каждый месяц выходили обновления, которые закрывали найденные уязвимости. Теперь уязвимости находят по-прежнему, а закрывают их только в Windows 11. И список того, что в вашей системе открыто, растет каждый месяц.

Через год после окончания поддержки этот список уже заметный. Через два будет вдвое больше.

Что на самом деле означает отсутствие обновлений

Без паники, но по существу.

Уязвимости становятся публичными. Когда Microsoft закрывает дыру в Windows 11, описание проблемы становится известным. И если та же дыра есть в Windows 10 - она теперь известна всем желающим и не закрыта.

Основная опасность - не вирус, а точка входа. Я писал про шифровальщиков: они попадают внутрь через открытый RDP, через фишинговое письмо или через непропатченный сервис. Необновляемая система - это постоянно растущий набор таких точек.

Антивирус ситуацию не решает. Он ловит известные ему программы, а не закрывает дыры в операционной системе. Это разные задачи, и подменять одно другим - самообман.

И отдельно, что многих удивляет: производители прикладного софта тоже постепенно перестают поддерживать старую систему. Сначала перестают тестировать, потом перестают выпускать версии. Это касается и бухгалтерских программ, и драйверов оборудования.

Вариант первый: платные обновления от Microsoft

Формально он существует.

Программа расширенных обновлений безопасности - организации могут доплачивать и продолжать получать критические патчи. Для коммерческих организаций она рассчитана максимум на три года после окончания поддержки, то есть до осени 2028 года.

Как устроена цена: около 61 доллара за устройство за первый год, и дальше цена удваивается каждый следующий год. То есть третий год стоит вчетверо дороже первого - это сделано намеренно, чтобы программа была временной мерой, а не образом жизни.

Обязательное условие - версия Windows 10 22H2. На более старых сборках программа не работает.

Что входит: только критические и важные обновления безопасности. Не входят новые функции, обычная техническая поддержка и исправления не связанных с безопасностью проблем.

А теперь честно про Россию. Покупка таких лицензий идет через корпоративное лицензирование Microsoft, а с этим у российских компаний сейчас все сложно. Формально вариант есть. Практически он доступен далеко не всем, и я бы не строил на нем план.

А вот это стоит знать отдельно. Кроме корпоративной программы есть потребительская, и она заметно доступнее: продлена до 12 октября 2027 года, стоит 30 долларов разово за устройство - либо бесплатно, если включить синхронизацию параметров, - и один ключ покрывает до десяти устройств. Работает она не только на домашних редакциях, но и на Pro.

Почему это не универсальный ответ, а вариант с оговорками:

• не работает на машинах в домене Active Directory или Entra. Если у вас домен - вариант отпадает сразу;
• на каждой машине нужна учетная запись Microsoft с правами администратора, локальная не подойдет. В российской компании это отдельный разговор с людьми;
• программа потребительская, и применять ее в организации - решение, которое принимаете вы.

Но если домена у вас нет - а у большинства небольших компаний его нет, - то это год патчей за тридцать долларов вместо шестидесяти одного за каждую машину. Разница достаточная, чтобы посчитать.

Вариант второй: перейти на Windows 11

Самый очевидный путь, и он упирается в железо.

Требования, из-за которых все и спотыкаются:

• модуль TPM 2.0 - аппаратный модуль безопасности. Microsoft подтверждала, что это требование остается обязательным;
• Secure Boot и загрузка в режиме UEFI;
• поддерживаемый процессор - грубо говоря, Intel восьмого поколения и новее, AMD Ryzen 2000 и новее;
• 4 гигабайта памяти и 64 гигабайта на диске - это формальный минимум, реально считайте от 8 гигабайт памяти.

Что из этого лечится настройкой. Довольно часто TPM в компьютере есть, но выключен в настройках материнской платы - и включается за пять минут. То же с Secure Boot. Поэтому не спешите записывать машину в неподходящие: сначала загляните в настройки.

Что не лечится: процессор. Если он старше, обновление штатным путем невозможно.

Как проверить парк за один день

Практическая часть, и она проще, чем кажется.

У Microsoft есть приложение проверки совместимости - оно говорит про конкретную машину, подходит она или нет и что именно мешает. Одна оговорка: в Windows 10 оно не встроено, его надо скачать и поставить. На одну машину уходит минута, на парк в тридцать - уже заметное время.

Поэтому по парку я хожу штатными средствами, они есть на любой машине и отвечают за секунды. Win+R и дальше:

• winver - версия системы. Та самая 22H2 или старее;
• tpm.msc - есть ли TPM и какой версии. Нужна 2.0 и состояние «модуль готов к использованию». Если написано, что модуль не найден, - это еще не приговор, смотрите настройки платы;
• msinfo32 - режим BIOS должен быть UEFI, состояние безопасной загрузки - «включено». Там же видно процессор и объем памяти.

Три команды на машину, и результат сразу ложится в табличку.

Что выписать по каждому компьютеру:

1. Версия Windows - и особенно та самая 22H2 или более старая.
2. Процессор - модель и поколение.
3. Память - сколько сейчас и можно ли добавить.
4. Есть ли TPM и включен ли он.
5. Какой диск - если механический, машину все равно стоит трогать.
6. Что на ней работает - обычное рабочее место или что-то специальное с оборудованием.

Результат раскладывается на три кучки:

• обновляются как есть - самая приятная;
• обновятся после настройки или небольшого апгрейда - включить TPM, добавить памяти, поставить диск;
• не обновятся никогда - здесь нужно решение.

День работы на парк в тридцать машин - реальная оценка. И этот день дает вам план вместо тумана.

Что делать с машинами, которые не тянут

Третья кучка - самая интересная. Вариантов пять, по возрастанию затрат - и первый из них ничего не стоит.

Первое: посмотреть, что на них вообще делают. Часть таких машин стоит на складе, на проходной, в бухгалтерии у человека, который открывает 1С и почту. Для такой работы часто хватает чего угодно.

Второе: перевести на тонкий клиент или веб-клиент. Если у вас серверная 1С или терминальный сервер, то мощность рабочей станции перестает иметь значение. Старая машина превращается в терминал, и вопрос обновления с нее снимается - остается только вопрос ее собственной защищенности.

Третье: заменить. Не обязательно новыми: рынок восстановленных корпоративных машин живой, и компьютер с поддержкой Windows 11 стоит там разумных денег.

Четвертое: Linux. Про это отдельный раздел ниже.

Пятое: изолировать и оставить. Для случаев, когда машина держит станок, старый сканер или программу, которой больше нигде нет. Тоже отдельный раздел.

И шестой, если он вам доступен: платные обновления из первого варианта. Они годятся и здесь - непроходной машине они дают те же патчи, что и любой другой. Вынес их наверх отдельным разделом потому, что решение это про весь парк сразу, а не про отдельную машину.

Про обход проверок - честно

Знаю, что спросят, поэтому отвечу прямо.

Способы поставить Windows 11 на неподдерживаемое железо существуют, они широко описаны, и технически это работает.

Почему я не советую так делать в компании:

• Microsoft прямо предупреждает, что такие установки не поддерживаются и обновления не гарантированы. То есть вы можете оказаться в ситуации, ради ухода из которой все и затевалось;
• обновление может слететь при очередном крупном апдейте, и чинить это придется вручную на каждой машине;
• в организации это плохо масштабируется: тридцать нештатно обновленных машин - это тридцать потенциально разных проблем.

Дома - ваше дело. В компании, где от этих машин зависит работа людей, я предпочитаю решения, которые не ломаются от очередного обновления.

Вариант третий: Linux на рабочих местах

Вариант, который в этой ситуации стоит рассматривать всерьез - и который чаще всего отметают, не подумав.

Где он работает хорошо. Рабочее место, на котором нужны 1С, браузер, почта и офисные документы. Это, если честно, большинство рабочих мест в обычной компании. Тонкий клиент 1С под Linux есть, веб-клиент работает в браузере, офисные задачи закрываются.

Где начинаются сложности: специфическое оборудование, старые принтеры, программы, у которых нет версии под Linux, сложные печатные формы. Я разбирал это подробно в статье про 1С на Astra Linux и Альте - там же список того, что ломается при переезде.

Главный плюс в нашем контексте: требований к железу заметно меньше, чем у Windows 11. Машина, которая не тянет Windows 11 по процессору, обычно прекрасно работает под Linux.

Практический совет: не переводите весь парк. Возьмите три-пять машин с самой простой работой, переведите, дайте людям поработать месяц. Дальше решение примется само - и на реальном опыте, а не на предположениях.

Вариант четвертый: изоляция

Для машин, которые нельзя ни обновить, ни заменить.

Типичная ситуация: компьютер держит производственный станок, старый измерительный прибор или программу, которую писали пятнадцать лет назад и исходников нет. Машина должна работать как есть.

Что с ней делать:

• убрать из интернета совсем, если работа этого не требует;
• выделить в отдельный сегмент сети и закрыть доступ ко всему, кроме того, что действительно нужно;
• запретить с нее доступ к общим папкам и к базе, если это возможно по задаче;
• никакой почты и браузера на этой машине - это правило, а не рекомендация;
• и отдельно проверить, что она не является путем к вашим бэкапам.

Изоляция - нормальное инженерное решение, а не костыль. Проблема начинается тогда, когда такая машина стоит в общей сети наравне со всеми и на ней же читают почту.

Случай из практики

История, типичная для этой осени.

Компания, тридцать два компьютера, торговля и небольшой склад. Вопрос от директора: «нам сказали, что надо срочно менять все компьютеры, это правда?»

Проверили парк за день. Картина получилась такая: одиннадцать машин обновляются на Windows 11 сразу. Девять - после того как включили TPM в настройках и добавили памяти, то есть почти без денег. Восемь не тянут по процессору. Четыре - те самые особые случаи: машина с принтером этикеток, два места на складе с терминалами сбора данных и старый компьютер у весов.

Что сделали. Первые двадцать обновили в течение месяца, по несколько штук за раз. Из восьми непроходных пять оказались местами, где нужны только 1С и почта - их перевели на тонкий клиент, и вопрос производительности отпал. Три заменили на восстановленные корпоративные машины.

Четыре особых случая изолировали: отдельный сегмент сети, без почты и браузера, доступ только к тому, что нужно для работы.

Итого «менять все компьютеры» превратилось в три покупки и месяц работы. Разница между этим и первоначальной оценкой - один день проверки парка.

Вывод, который я из этого делаю: страшной эту тему делает неизвестность. Как только появляется список с тремя кучками, она превращается в обычную рабочую задачу.

План на полгода

Спокойный график, без аврала.

Этот месяц: проверить парк и разложить на три кучки. Один день.

Следующий месяц: обновить все, что обновляется как есть. Это делается по несколько машин за раз, без остановки работы.

Через два месяца: сделать то, что требует настройки и небольшого апгрейда - TPM, память, диски.

Через три-четыре месяца: решить по непроходным машинам. Тонкий клиент, замена или Linux - по каждой отдельно.

Через пять месяцев: изолировать те, что остаются как есть, и записать, почему они остаются. Это важно: через год никто уже не вспомнит.

И параллельно все время: держать в порядке то, что защищает независимо от версии системы - закрытый снаружи RDP, проверенный бэкап, нормальные пароли. Эти три вещи снимают больше риска, чем сама версия Windows.

Если делать некому

Как вы помните, я айти-специалист: веду 1С для организаций, собираю и держу серверы. У нас команда из десяти программистов, и парк рабочих мест - обычная часть сопровождения.

Чем помогаем:

• проверяем парк и раскладываем на три группы с понятным планом по каждой;
• обновляем то, что обновляется - включая настройку TPM и апгрейд памяти и дисков;
• переводим на тонкий клиент те места, где мощность станции не нужна;
• подбираем замену - в том числе восстановленные корпоративные машины, если бюджет ограничен;
• пробуем Linux на нескольких местах, чтобы решение принималось на опыте;
• изолируем особые машины так, чтобы они не были дырой в общей сети;
• берем на сопровождение, чтобы такие сроки не заставали врасплох.

Подробнее про обслуживание: 1c.akernel.ru/services/it-podderzhka

И бесплатное предложение. Напишите, сколько у вас компьютеров и примерно какого возраста - скажу, какую долю парка придется трогать. По моему опыту, цифра почти всегда оказывается меньше, чем ожидает директор)

Читайте также: 1С на Astra Linux и Альт, Пришел шифровальщик: первые 60 минут, Терминальный сервер для 1С и Сколько стоит час простоя вашей 1С.

Условия программы расширенных обновлений и требования к оборудованию уточняйте на сайте производителя - они менялись и могут измениться снова. Материал отражает состояние на момент публикации.