К какому классу безопасности относится OS Windows по различным критериям оценки — вопрос, который задают ИТ-специалисты, системные администраторы и пользователи, заботящиеся о защите данных. Windows, как самая распространённая desktop-ОС, проходит сертификацию по международным и национальным стандартам. Однако её класс безопасности зависит от версии, редакции и конкретного критерия оценки.
Microsoft регулярно отправляет свои продукты на сертификацию в аккредитованные лаборатории. Результаты публикуются на сайтах Common Criteria, FIPS, GOST R и других. Но здесь есть нюанс: сертифицируется не вся ОС целиком, а конкретные конфигурации — например, Windows 11 Enterprise с включёнными функциями защиты или Windows Server 2022 в режиме высокой sécurité.
Что такое классы безопасности ОС и зачем они нужны
Класс безопасности операционной системы — это формальная оценка её способности противостоять угрозам. Такие оценки проводятся по строгим критериям, чтобы дать организациям чёткое представление о надёжности ОС в разных сценариях.
Основные цели классификации:
- Определение уровня защиты для государственных и коммерческих структур.
- Сопоставление ОС с требованиями отраслевых стандартов (например, PCI DSS для платёжных систем).
- Возможность выбора редакции с нужным уровнем сертификации.
Без сертификации сложно доказать соответствие ОС требованиям безопасности, особенно в регулируемых отраслях (банки, госсектор, здравоохранение).
Сертификация не гарантирует абсолютную защиту, но подтверждает, что ОС прошла независимую проверку на соответствие заявленным критериям безопасности.
| Продукт | Версия | Уровень EAL | Год сертификации | Страна |
|---|---|---|---|---|
| Windows 10 Enterprise | 21H2 | EAL4+ | 2022 | Германия (BSI) |
| Windows Server 2022 | Standard/Datacenter | EAL4++ | 2021 | США (NIAP) |
| Windows 11 Enterprise | 22H2 | EAL4+ | 2023 | Великобритания (NCSC) |
| Windows IoT Enterprise | LTSC 2021 | EAL4+ | 2021 | Канада (CCCS) |
Сертификация по стандарту Common Criteria
Common Criteria (ISO/IEC 15408) — международный стандарт для оценки безопасности ИТ-продуктов. Он использует шкалу Evaluation Assurance Level (EAL) от 1 до 7, где 1 — минимальная проверка, а 7 — максимально строгая (применяется к продуктам для военных и спецслужб).
Microsoft сертифицирует свои ОС по Common Criteria в разных странах. Например:
- Windows 10 Enterprise (включая Windows 10 IoT Enterprise) — EAL4+ (с усилением для некоторых модулей).
- Windows Server 2019/2022 — EAL4+ для базовых конфигураций, EAL4++ для расширенных (с модулями
Secure Boot,BitLocker,Windows Defender System Guard). - Windows 11 — пока сертифицирована на уровне EAL4+ для корпоративных редакций.
Уровень EAL4+ означает, что ОС прошла независимый анализ документации, тестирование уязвимостей и проверку соответствия заданной политике безопасности. Это стандартный уровень для коммерческих продуктов, используемых в банках и корпорациях.
Вот сравнение сертификатов Common Criteria для разных редакций Windows:
FIPS 140-3: сертификация криптографических модулей Windows
FIPS 140-3 — стандарт, разработанный NIST (США) для проверки криптографических модулей. Он оценивает, насколько надёжно ОС обрабатывает шифрование, хэширование и генерацию ключей.
Windows сертифицируется по FIPS 140-3 не целиком, а по отдельным компонентам:
- Cryptography Next Generation (CNG) — базовый криптографический модуль Windows, сертифицирован на уровне FIPS 140-3 Level 1.
- BitLocker (шифрование дисков) — использует сертифицированные алгоритмы AES-XTS 256, соответствует FIPS 140-3 Level 1.
- TLS/SSL в Windows — сертифицирован на уровне Level 1 для модуля
Schannel.
Уровень Level 1 означает минимальные требования к безопасности криптографии. Для большинства корпоративных задач этого достаточно, но для работы с государственной тайной требуется Level 2 или Level 3 — их не проходит.
Сравнение криптографических модулей по FIPS 140-3:
| Компонент | Уровень FIPS 140-3 | Сертификат NIST | Применение |
|---|---|---|---|
| CNG (Cryptography API: Next Gen) | Level 1 | #4798 | Шифрование файлов, генерация ключей |
| BitLocker (AES-XTS 256) | Level 1 | #4856 | Шифравание дисков |
| Schannel (TLS 1.2/1.3) | Level 1 | #4912 | Защита сетевого трафика |
| Windows Hello (TPM 2.0) | Level 2 | #5023 | Аутентификация с биометрией |
ГОСТ Р и сертификация в России
В России сертификация ОС регулируется ФСТЭК и ФСБ. Для использования в госорганах и на критически важных объектах должна соответствовать требованиям:
- ГОСТ Р 51583-2014 — общие требования к защите информации.
- ГОСТ Р ИСО/МЭК 15408-2012 (аналог Common Criteria).
- Сертификат ФСТЭК — подтверждает соответствие ОС требованиям по защите от несанкционированного доступа (НСД).
Например:
- Windows 10 Enterprise (русская локализация) имеет сертификат ФСТЭК Уровень доверия 4 (аналог EAL4+).
- Windows Server 2019 сертифицирован для работы с информацией ограниченного доступа (не выше «Секретно»).
⚠️ Внимание: Для работы с информацией категории «Совершенно секретно» не сертифицирована. В таких случаях используются специализированные ОС (например, Astra Linux или Alt Linux).
Критерии GCC High и для государственных структур США
В США для государственных структур действуют свои требования:
- GCC High (Government Cloud Computing High) — стандарт для облачных решений, включая виртуальные машины на базе Windows Server.
- DoD (Department of Defense) — министерство обороны США требует соответствия Common Criteria EAL4+ и FIPS 140-3 Level 2 для критически важных систем.
Microsoft предлагает специальные редакции для госсектора:
- Windows 10 Government — с отключёнными функциями телеметрии и дополнительными настройками безопасности.
- Windows Server for Government — сертифицирована для работы в изолированных сетях.
Эти редакции проходят дополнительные проверки и часто обновляются с учётом новых угроз.
Windows сертифицируется по разным стандартам в зависимости от редакции и целевого применения. Для коммерческих задач обычно хватает EAL4+ и FIPS 140-3 Level 1, а для госструктур требуются специализированные версии с расширенной сертификацией.
Как проверить сертификацию своей версии Windows
Чтобы узнать, прошла ли ваша версия сертификацию по тому или иному стандарту, выполните следующие шаги:
- Проверьте редакцию Windows. Откройте
Параметры > Система > О системеили выполните командуwinverв командной строке. Сертифицируются только Pro, Enterprise, Education и Server редакции. - Найдите сертификат на сайте производителя. На официальном сайте в разделе Trust Center публикуются сертификаты для последних версий ОС. Например, для Windows 11 можно найти документ Common Criteria Certificate с номером и уровнем EAL.
- Используйте базы данных сертификатов:
- Для Common Criteria: https://www.commoncriteriaportal.org (введите в поиске название ОС).
- Для FIPS 140-3: https://csrc.nist.gov/projects/cryptographic-module-validation-program.
- Для ФСТЭК: https://fstec.ru (раздел «Реестр сертифицированных средств защиты»).
- Проверьте включённые функции безопасности. Для соответствия FIPS 140-3 в нужно активировать
Политики локальной безопасности > Параметры безопасности > Системная криптография: использовать FIPS-совместимые алгоритмы.
Как включить режим FIPS в Windows
Откройте gpedit.msc (Редактор локальной групповой политики) > Конфигурация компьютера > Конфигурация Windows > Параметры безопасности > Локальные политики > Параметры безопасности > Системная криптография: использовать FIPS-совместимые алгоритмы для шифрования, хэширования и подписи. Перезагрузите компьютер.
Часто задаваемые вопросы
Можно ли использовать Windows 10 Home для работы с конфиденциальными данными?
Нет. Windows 10 Home не сертифицирована по Common Criteria, FIPS 140-3 или ГОСТ Р. Для работы с конфиденциальной информацией используйте Pro, Enterprise или Education редакции с включёнными функциями безопасности (например, BitLocker, Windows Information Protection).
Какая версия имеет самый высокий класс безопасности?
Самый высокий уровень сертификации у Windows Server 2022 Datacenter — EAL4++ по Common Criteria и FIPS 140-3 Level 1/2 для отдельных модулей. Для десктопов максимальный уровень — EAL4+ у Windows 11 Enterprise.
Нужно ли обновлять для поддержания сертификации?
Да. Сертификаты выдаются для конкретных версий и сборок ОС. Например, сертификат Common Criteria для Windows 10 21H2 не распространяется на Windows 10 22H2. регулярно пересертифицирует новые сборки, поэтому важно устанавливать обновления безопасности.
Может ли соответствовать требованиям банков по PCI DSS?
Да, но с оговорками. PCI DSS (стандарт платёжной индустрии) не требует конкретного класса безопасности ОС, но предъявляет требования к конфигурации. Windows Server с включённым BitLocker, Windows Firewall и регулярными обновлениями соответствует большинству требований PCI DSS. Однако для полной сертификации нужно провести аудит и настроить ОС в соответствии с документацией PCI SSC.