Windows 10的官方支持已于2025年10月14日结束（ESU扩展支持最长可续到2026年10月，商业客户可付费延长更久，具体以微软政策为准）。对还在大规模使用Windows 10的单位，"停服"意味着不再有免费安全补丁，新漏洞无人修补。但应对不等于立刻全换——本文给三条路线的决策框架。

一、先搞清楚"停服"到底停了什么

停服分两层：一是主流支持结束——不再有功能更新；二是安全更新终止——这是真正的风险点：操作系统漏洞不再修补，而攻击工具的利用速度以天计。注意两个例外口径：Windows 10的ESU（扩展安全更新）可付费续命（2025年10月后首年个人可免费注册一次，企业按台付费，微软官方口径），最长延续时间有限且逐年涨价；Windows 10神州网信版是面向中国政府客户的特殊版本，生命周期管理不同——政采配置7专用的就是这个版本。

二、三条应对路线对比

路线	做法	适合	风险与成本
A. 延保过渡	买ESU或用神州网信版，继续用1-3年	短期预算紧、业务软件暂无法迁移	逐年涨价；治标不治本；审计口径越来越难看
B. 断网隔离	停服终端断开互联网，只跑专用业务	工控、专用设备（收费、叫号、影像工作站）	内网横向移动风险仍在；需配合物理/逻辑隔离
C. 国产替换	换装信创整机+统信UOS/麒麟	办公类终端（占比通常80%以上）	一次性投入；业务软件需适配验证

实操上几乎都是组合拳：办公终端走C（替换），专用终端走B（隔离），实在换不了的少量终端走A（续保）并纳入台账重点监控。三条路线不互斥，按终端用途分类施策。

三、必须留存的停服终端：安全基线五条

1补丁打满到最后一个可用版本，冻结系统变更
2部署EDR/主机安全客户端并保持更新（终端安全的"最后防线"从系统补丁转移到行为检测）
3USB外设白名单管控，禁止来历不明的U盘——停服系统被摆渡攻击突破的概率最高
4网络分区：停服终端单独VLAN，与办公网、服务器区之间用防火墙策略最小化互通
5应用白名单：只允许运行清单内程序，防勒索软件驻留

四、数据迁移：换机前必须处理的三件事

用户数据：桌面+文档+收藏夹+邮件归档，迁移工具批量搬运（常见数十GB/人，预留充足窗口）
应用清单：逐台记录安装的软件，标注"信创有替代版/需保留隔离/必须续保"
系统设置与证书：打印机驱动、CA证书、VPN配置——最容易漏的是CA证书，迁移后网银/签章全用不了才发现

五、业务软件适配评估：决定C路线速度的关键

办公类终端替换的速度取决于业务软件的信创适配度，评估分三档：绿色（WPS/浏览器/IM类，直接迁）、黄色（行业软件有信创版本但需测试，安排1-2周验证）、红色（仅支持Windows且无替代，该终端暂时保留走A/B路线）。千人单位常见分布大约是绿70%、黄25%、红5%（示意比例）——也就是说约四分之三的终端可以较快切换。

六、成本测算参考（示意）

三条路线的三年成本量级对比：延保路线单台ESU费用逐年上升且三年后仍需面对；隔离路线的改造成本主要是网络分区和安全设备复用；替换路线单台成本=信创整机采购+迁移服务（通常整机价的10%-20%）。以三年周期看，办公终端替换路线的总拥有成本普遍低于"续保+加固"路线，且资产是新的——这也是多数单位选择直接替换的财务逻辑。

七、常见坑

坑一：以为续保就安全——ESU只补漏洞，新特性、新硬件支持、兼容性修复都没有
坑二：隔离了但没分区——"逻辑隔离"只是换了个IP段，防火墙策略全开等于没隔
坑三：只迁系统盘——用户D盘/E盘的业务数据没纳入迁移范围，换完机找不回来
坑四：红色软件终端漏管——少量特殊终端最容易成为影子IT，台账里必须单列

八、行动清单

1清点Windows终端：版本、用途、业务软件三列表
2按绿黄红三档分类，出适配评估报告
3绿色终端直接排替换计划；黄色安排测试；红色定隔离/续保方案
4给停服留存终端落实五条安全基线
5把CA证书、VPN、打印驱动纳入迁移核对单

⏰ 惠丰启阳停服应对服务

我们是国家高新技术企业，通过 ISO27001/ISO20000 双认证，拥有 16 项软件著作权，提供Windows停服评估、终端分级分类、信创替换批量实施、留存终端安全加固服务。

电话/微信：17394994086

Windows停服后怎么办？Win7/Win10终止支持的三种应对路线与数据安全指南