Содержание:
1. Как настроить программу 1С:Предприятие для соответствия требованиям 152-ФЗ
2. Как провести инвентаризацию в системе учета 1С
3. Как организовать разграничение доступа
4. Как обеспечить шифрование в учетной системе 1С
5. Как настроить аудит в системе 1C:Предприятие
6. Как внедрить организационные меры с помощью программы 1C:Предприятие
Сегодня разберем больную тему для многих компаний, особенно в свете участившихся проверок Роскомнадзора — защиту персональных данных (ПДн) в 1С.
Любая организация, обрабатывающая паспортные данные, телефоны, адреса сотрудников или клиентов, является оператором ПДн и обязана соблюдать 152-ФЗ. Ваша конфигурация 1С — это, по сути, информационная система персональных данных (ИСПДн), и ее нужно соответствующим образом обезопасить. Программа 1C:Предприятие используется во многих организациях именно для обработки таких данных.
Многие думают, что достаточно поставить пароль на базу, но это иллюзия защищенности. Давайте системно подойдем к вопросу и настроим 1С для полного соответствия закону.
1. Как настроить программу 1С:Предприятие для соответствия требованиям 152-ФЗ
Закон обязывает оператора ПДн:
● Обеспечить конфиденциальность — предотвратить утечки.
● Обеспечить точность и актуальность данных.
● Ограничить доступ — только тем сотрудникам, которым это необходимо для выполнения трудовых функций.
● Вести учет операций с ПДн (журналирование).
● Принимать необходимые организационные и технические меры защиты.
За невыполнение — серьезные штрафы по КоАП РФ (ст. 13.11), вплоть до приостановки деятельности. При этом конфигурации программы 1С должны быть настроены с учетом действующих требований безопасности.
2. Как провести инвентаризацию в системе учета 1С
Вот пошаговый план, который можно взять за основу.
Шаг 1. Инвентаризация: находим все персональные данные
Прежде чем защищать, нужно понять, что защищать. Проведите ревизию в вашей базе 1С:
● Справочники: «Физические лица», «Сотрудники организаций», «Контактные лица контрагентов», «Паспортные данные» и т. д.
● Документы: «Кадровые приказы», «Больничные», «Отпуска», «Договоры с физическими лицами».
● Отчеты: любые формы, содержащие Ф. И. О., телефоны, адреса.
● Регистры сведений, где могут храниться ПДн.
Вывод: составьте полный перечень объектов метаданных и полей, где хранятся ПДн. Это ваш основной фронт работ. Система учета 1С должна быть полностью проанализирована перед внедрением мер защиты.
3. Как организовать разграничение доступа
Шаг 2. Железный занавес: разграничение прав доступа
Самая частая причина утечек — неразграниченный доступ. Бухгалтеру не нужно видеть паспортные данные всех сотрудников, а кадровику — финансовые начисления.
Что делаем в 1С:
Создаем ролевую модель. В «Администрировании» → «Настройка пользователей и прав» создаем роли:
● Кадровик — доступ только к кадровым документам и справочнику сотрудников (ограниченный набор полей).
● Бухгалтер по расчету заработной платы — доступ к начислениям, но без просмотра полных паспортных данных.
● Менеджер по продажам — доступ только к контактным данным клиентов (телефон, e-mail), но не к их паспортным данным.
● Аудитор ПДн — специальная роль только для просмотра журнала регистрации.
Настраиваем права на уровне записей (РПД). Это ключевой инструмент.
Пример для кадровика: можно настроить РПД так, чтобы пользователь с ролью «Кадровик» видел данные только сотрудников своего подразделения.
Пример для менеджера: менеджер видит только контрагентов, за которыми он закреплен.
Настраиваем права на уровне полей. Самый тонкий инструмент.
Для роли «Бухгалтер по расчету заработной платы» можно снять право на просмотр (галочка «Просмотр») с реквизитов «Серия паспорта», «Номер паспорта», «Кем выдан» в справочнике «Сотрудники». При этом для расчета заработной платы эти данные не нужны, и законность соблюдена.
Важно: не создавайте пользователя с полными правами (типа «ПолныеПрава») для повседневной работы. Это антипаттерн безопасности. Конфигурация системы 1С позволяет гибко разграничивать доступ без предоставления избыточных полномочий.
4. Как обеспечить шифрование в учетной системе 1С
Шаг 3. Криптощит: шифрование каналов связи и данных
ПДн не должны передаваться по сети в открытом виде.
Шифрование канала связи «Клиент — Сервер». Если используете клиент-серверный вариант (1С:Предприятие 8.3 + СУБД), обязательно настройте TLS-шифрование соединения между клиентом и кластером серверов 1С, а также между кластером и сервером СУБД. Это делается в настройках кластера и в SQL Server/PostgreSQL.
Шифрование файловой базы. Для файлового варианта (1Cv8.1CD) используйте встроенное шифрование архива базы данных при создании или через Config Save As. Установите сложный пароль и храните его в надежном месте.
Хранение конфиденциальных данных в зашифрованном виде. Для сверхчувствительных данных (например, сканов паспортов, медицинских справок) можно использовать:
● Внешние хранилища. Настройте хранение таких файлов в зашифрованных томах или специализированных системах.
● Шифрование средствами 1С. Используйте объекты «ЗащищенноеХранилище» или «СимметричноеШифрование» для программного шифрования и дешифрования критичных полей. Но этот способ требует аккуратной реализации.
Учетная система 1С должна обеспечивать защиту данных как при хранении, так и при передаче.
5. Как настроить аудит в системе 1C:Предприятие
Шаг 4. Всевидящее око: аудит и журналирование
Если инцидент все же произошел, вы должны установить: кто, когда и что сделал.
Включаем журнал регистрации. Идем в «Администрирование» → «Журнал регистрации» → «Настройка».
● Включаем ведение журнала.
● Обязательно отмечаем события: «Изменение данных», «Удаление данных», «Чтение данных» (осторожно, сильно нагружает систему — настраивайте выборочно).
● Указываем объекты, подлежащие аудиту: все те справочники и документы с ПДн, которые мы нашли на шаге 1.
Анализируем журнал. Регулярно (раз в неделю или месяц) просматривайте отчет «Отчеты по журналу регистрации». Обращайте внимание на:
● Массовое чтение или экспорт данных одним пользователем.
● Попытки доступа к данным, не входящим в зону ответственности сотрудника.
● Действия в нерабочее время.
Системы 1C Предприятие позволяют эффективно контролировать подобные события при корректной настройке.
6. Как внедрить организационные меры с помощью программы 1C:Предприятие
Шаг 5. Организационные меры: без них техника бессильна
● Политика обработки ПДн. Разработайте и утвердите локальный акт, где опишите, какие данные, в какой системе 1С и кем обрабатываются.
● Инструкция для пользователей. Объясните сотрудникам правила работы с ПДн в 1С.
● Согласие на обработку ПДн. Убедитесь, что у вас есть подписанные согласия от всех субъектов ПДн (сотрудников, клиентов).
● Регулярное резервное копирование. Это мера и защиты, и обеспечения доступности данных.
Резюме: чек-лист для быстрого старта
● Провели инвентаризацию ПДн в базе.
● Настроили роли и разграничили права (РПД и на уровне полей).
● Убрали пользователей с полными правами из повседневной работы.
● Включили и настроили журнал регистрации на ключевые объекты.
● Настроили TLS-шифрование для клиент-серверной версии.
● Зашифровали файловую базу (если используется).
● Подготовили пакет организационных документов.
Защита ПДн — это не разовое мероприятие, а непрерывный процесс. Регулярный аудит, обновление настроек под меняющиеся бизнес-процессы и обучение сотрудников — залог вашей безопасности и юридического спокойствия.
Специалист компании ООО "Кодерлайн"
Александр Семёнкин
