Безопасность данных в облачной 1С: 152-ФЗ, права и пароли

Вопрос «а безопасно ли держать бухгалтерию в облаке» почти всегда задают не о том. Дата-центр с охраной, резервным питанием и дежурной сменой защищён несопоставимо лучше, чем шкаф в бухгалтерии. Реальные утечки происходят иначе: увольняется менеджер, а его учётная запись живёт ещё полгода; все сотрудники работают под общим логином «Администратор»; пароль от базы записан на стикере под клавиатурой. Ниже — что берёт на себя сервис и что по закону остаётся на вас.

Где физически лежат данные и почему это важно

Базы сервиса 1С:Фреш размещаются в дата-центрах на территории России. Это не маркетинговая деталь, а требование части 5 статьи 18 152-ФЗ: при сборе персональных данных граждан России оператор обязан обеспечить их запись, систематизацию, накопление, хранение и извлечение с использованием баз данных, находящихся на территории Российской Федерации. Персональные данные в бухгалтерской базе есть всегда — это ФИО, паспортные данные и СНИЛС сотрудников в зарплатном блоке, контакты и реквизиты контрагентов-физлиц, данные покупателей в рознице. Ключевой момент, который часто понимают неверно: оператором персональных данных остаётся ваша компания, а не провайдер. Провайдер выступает лицом, которому обработка поручена по договору в порядке части 3 статьи 6 152-ФЗ. Он отвечает за площадку, доступность, шифрование канала и резервные копии. Всё, что касается состава данных, целей обработки и того, кто внутри компании их видит, — ваша ответственность, и переложить её на сервис нельзя.

• Уведомление Роскомнадзора. Об обработке персональных данных оператор уведомляет надзорный орган по статье 22 152-ФЗ — это делается один раз, но делать надо.
• Документы по обработке. Политика обработки персональных данных, приказ об ответственном, перечень обрабатываемых данных, согласия сотрудников. Наша политика опубликована в разделе конфиденциальность, но у вас должна быть своя.
• Разграничение доступа внутри компании. Кто из сотрудников какие данные видит — определяете вы настройками прав в 1С, а не провайдер.
• Реакция на инцидент. При утечке оператор обязан уведомить Роскомнадзор в течение 24 часов о самом факте и в течение 72 часов — о результатах внутреннего расследования.
• Ответственность. Штрафы по статье 13.11 КоАП РФ за нарушения при обработке персональных данных и утечки в 2025 году были существенно повышены, для крупных утечек предусмотрены оборотные штрафы.

Разграничение прав: роли и профили групп доступа

В типовых конфигурациях 1С доступ настраивается в разделе «Администрирование — Настройки пользователей и прав». Там задаются пользователи, группы доступа и профили групп доступа. Профиль — это набор ролей: «Бухгалтер», «Кассир», «Менеджер по продажам», «Кадровик», «Только просмотр» и другие. Пользователю выдаётся профиль, а не отдельные роли поштучно — так проще поддерживать и проверять. Второй уровень — ограничение на уровне записей, RLS. Оно позволяет показать менеджеру только его склад, а бухгалтеру филиала — только его организацию, при том что база общая. Настройка выполняется в тех же группах доступа через значения ограничений доступа: организация, склад, группа контрагентов. Собрать корректную матрицу прав под конкретную компанию — часть работ по настройке 1С, и делать её лучше один раз на старте, а не после первого неприятного случая.

← таблицу можно прокрутить вбок →

Пароли и двухфакторная аутентификация

Парольная политика задаётся в 1С централизованно, в разделе «Администрирование — Настройки пользователей и прав — Настройки входа». Там включаются требование сложности, минимальная длина, срок действия пароля и запрет на повторное использование прежних. Это две минуты работы, которые закрывают самый частый способ проникновения — подбор простого пароля. Отдельно про канал: работа с облачной 1С идёт по протоколу HTTPS с шифрованием TLS — и через браузер, и через тонкий клиент, поэтому трафик между рабочим местом и дата-центром нельзя перехватить и прочитать даже в публичной сети кафе или гостиницы.

1. Включите проверку сложности пароля и минимальную длину не менее 8–10 символов; отключите вход без пароля для всех, включая служебные учётные записи.
2. Включите двухфакторную аутентификацию в личном кабинете сервиса — вход подтверждается вторым фактором, и украденный пароль сам по себе перестаёт открывать доступ к базе.
3. Запретите аутентификацию операционной системы для учётных записей, которыми пользуются несколько человек — она позволяет входить в базу без ввода пароля вообще.
4. Задайте срок действия пароля и предупреждение о смене, но не делайте его слишком коротким: смена раз в месяц гарантированно приводит к паролям на стикерах.
5. Проверьте, у кого стоит роль «Администратор системы» и «Полные права». В большинстве компаний таких людей должно быть не больше двух.
6. Доступ подрядчиков и приходящего бухгалтера оформляйте отдельными учётными записями с ограниченным профилем и датой окончания действия.

Увольнение сотрудника: что сделать в тот же день

Журнал регистрации: чем разбирать инциденты

Журнал регистрации фиксирует всё, что происходит в базе: входы и выходы, изменение и удаление объектов, отказы в доступе, изменения настроек прав. Открывается он в разделе «Администрирование — Обслуживание — Журнал регистрации», отборы задаются по пользователю, периоду, важности события и конкретному объекту. Для большинства вопросов «кто это сделал» этого достаточно, и внешние инструменты не нужны.

• «Кто изменил документ». Отбор по объекту показывает всю историю правок с указанием пользователя и точного времени.
• «Кто удалил». Событие удаления фиксируется даже тогда, когда сам объект уже помечен и удалён окончательно.
• «Кто пытался войти». Событие отказа в доступе показывает неудачные попытки входа — серия таких записей ночью означает подбор пароля.
• «Кто расширил себе права». Изменение состава групп доступа и профилей фиксируется отдельно, и это событие стоит просматривать раз в месяц.
• «Что выгружали». Массовое формирование отчётов и открытие обработок видно по событиям сеанса — полезно при разборе спорных увольнений.

Облако против ноутбука бухгалтера

← таблицу можно прокрутить вбок →

Сравнивать облако честно нужно не с идеальной серверной, а с тем, как учёт устроен в реальности у большинства небольших компаний: файловая база на рабочем компьютере, копия на флешке, доступ по удалённому рабочему столу с проброшенным наружу портом. Вывод при этом не в том, что облако безопасно само по себе: обязательства сервиса по доступности, копированию и защите площадки описаны в разделе гарантии, но они закрывают только половину задачи. Вторую половину — учётные записи, права, пароли и дисциплину при увольнениях — по-прежнему закрывает компания. Разобрать эту часть удобно на практике: базовую матрицу прав и парольную политику разбирают в ходе обучения, а точечные вопросы по настройке решает поддержка. Учтите при этом, что состав документов оператора зависит от того, какие данные и с какой целью обрабатывает конкретная компания, — универсального комплекта на все случаи не существует.

Частые вопросы