Администрирование · 13 мин
1С ЗПК: что это такое и кому он нужен
1С ЗПК — защищённый программный комплекс на платформе 1С:Предприятие 8. Разбираем, что это, кому нужен, как работает защита данных и как его внедрить.
1С ЗПК — это защищённый программный комплекс, созданный фирмой «1С» совместно с компанией «Информзащита» на базе платформы «1С:Предприятие 8». Его основное назначение — организация защищённой обработки конфиденциальной информации в прикладных решениях 1С: учётных данных, персональных данных сотрудников, коммерческой тайны и сведений, составляющих служебную тайну.
Ключевая особенность комплекса — наличие сертификата соответствия ФСТЭК России. Это означает, что решение прошло проверку на соответствие требованиям к средствам защиты информации, не содержащим сведений, составляющих государственную тайну. Для организаций, которые обязаны выполнять требования регуляторов по защите персональных данных и иной конфиденциальной информации, сертификация является принципиальным фактором выбора.
По сути, ЗПК — это не отдельная учётная программа, а защищённая среда исполнения, в которой работают привычные прикладные решения: «1С:Бухгалтерия», «1С:Зарплата и управление персоналом», «1С:ERP» и другие конфигурации. Пользователь работает с тем же интерфейсом, но весь контур обработки данных дополнительно защищён встроенными механизмами.
Из чего состоит защищённый программный комплекс
В состав ЗПК входит защищённый вариант технологической платформы «1С:Предприятие 8», дополненный программными механизмами защиты. Комплекс включает средства идентификации и аутентификации пользователей, разграничения доступа, регистрации событий безопасности, контроля целостности и защиты среды исполнения.
Прикладная часть — это типовые конфигурации, адаптированные для работы в защищённом контуре. Функционально они повторяют обычные версии, поэтому переучивать пользователей не требуется: бухгалтер или кадровик работает в знакомом интерфейсе, а различия касаются в основном уровня администрирования и настройки безопасности.
Кому нужен 1С ЗПК и когда без него можно обойтись
Комплекс востребован в первую очередь государственными учреждениями, организациями с государственным участием и коммерческими компаниями, которые обрабатывают значительные объёмы персональных данных или сведения ограниченного доступа и обязаны подтвердить защищённость информационных систем проверкам.
Типичные сценарии, при которых выбирают ЗПК: постановка на учёт информационной системы персональных данных (ИСПДн), необходимость пройти проверку Роскомнадзора или ФСТЭК, требования внутренней политики безопасности крупной организации, работа с контрактами, где заказчик предъявляет требования к защите информации у подрядчика.
Небольшой коммерческой компании, которая ведёт учёт без особых требований регуляторов, обычно достаточно штатных механизмов защиты платформы: парольной аутентификации, ролевого разграничения прав, шифрования трафика при клиент-серверной работе. Внедрение ЗПК в этом случае может оказаться избыточным по стоимости и трудозатратам на сопровождение.
Как понять, нужен ли вам ЗПК
Какие механизмы защиты реализованы в комплексе
ЗПК реализует комплекс мер, типичных для сертифицированных средств защиты. Идентификация и аутентификация пользователей выполняется с усиленными требованиями: контролируется сложность паролей, их срок действия, возможна блокировка учётных записей при подборе пароля. Управление доступом строится на ролевой модели с возможностью детального разграничения прав вплоть до уровня записей и полей объектов.
Регистрация событий безопасности позволяет вести журнал действий пользователей и администраторов: входы в систему, изменение данных, попытки несанкционированного доступа. Эти журналы используются при расследовании инцидентов и при проверках. Контроль целостности проверяет, что программные модули и данные не были изменены несанкционированно.
Отдельный блок — защита среды исполнения: комплекс контролирует, что прикладное решение работает в штатном окружении, без внедрения постороннего кода. Это снижает риск компрометации через внешние обработки и модифицированные компоненты.
Проверьте номер и срок действия сертификата в реестре ФСТЭК — просроченный сертификат не принимается проверяющими
Уточните, есть ли нужная вам конфигурация и версия в составе ЗПК
Обновления защищённых решений могут выходить с задержкой относительно типовых — учтите это при планировании
Оцените, есть ли в штате специалист, способный администрировать защищённый контур
Чем ЗПК отличается от обычной платформы 1С
Типовая платформа «1С:Предприятие 8» уже содержит базовые механизмы безопасности: аутентификацию, роли, разграничение доступа к данным. Однако эти механизмы не сертифицированы как средство защиты информации, и для целей соответствия требованиям регуляторов их недостаточно в ряде случаев.
ЗПК добавляет сертифицированные механизмы защиты и, что не менее важно, документальное подтверждение соответствия. При проверке организации предъявляет не только настроенную систему, но и комплект эксплуатационной и сертификационной документации, который входит в поставку.
Практическое отличие для пользователей минимально, а вот для администраторов и службы безопасности различия существенны: появляются дополнительные процедуры настройки, контроля, аудита и обновления, которые нужно выполнять в соответствии с руководством по эксплуатации комплекса.
Типовая платформа или ЗПК
Подходит большинству коммерческих компаний без особых требований регуляторов. Дешевле во внедрении и сопровождении, обновления выходят оперативно, но нет сертификата средства защиты
Нужен при требованиях ФСТЭК, Роскомнадзора или отраслевых регуляторов к сертифицированной защите. Дороже, требует квалифицированного сопровождения, но закрывает формальные требования проверок
Как проходит внедрение: основные этапы
Внедрение ЗПК начинается не с установки программы, а с анализа: определяется, какие данные подлежат защите, какие требования предъявляют регуляторы, какие прикладные решения должны работать в защищённом контуре. На этом этапе часто привлекают специалистов по информационной безопасности, поскольку ошибки в модели угроз и классификации системы дорого исправлять позже.
Далее выполняется установка защищённой платформы и прикладных решений, настройка механизмов защиты в соответствии с эксплуатационной документацией, заведение учётных записей и ролей. Важный этап — проверка работоспособности: прикладной функционал тестируется в защищённом режиме, чтобы убедиться, что учётные процессы не нарушены.
Завершает внедрение оформление документации: актов ввода в эксплуатацию, инструкций для пользователей и администраторов, при необходимости — документов для постановки ИСПДн на учёт. После этого комплекс переводится в режим промышленной эксплуатации с регламентированным порядком обновлений.
- 1Определите состав защищаемой информации и требования регуляторов к вашей системе
- 2Проверьте актуальность сертификата ЗПК и наличие нужных прикладных конфигураций
- 3Установите защищённую платформу и прикладные решения по эксплуатационной документации
- 4Настройте аутентификацию, роли и разграничение доступа под структуру организации
- 5Протестируйте учётные процессы в защищённом режиме на копии реальных данных
- 6Оформите эксплуатационную документацию и введите комплекс в промышленную эксплуатацию
Ограничения, риски и типичные ошибки
Главный риск при работе с ЗПК — нарушение условий сертификации. Сертификат действует при соблюдении условий эксплуатации, описанных в формуляре и руководствах: самовольная доработка защищённых механизмов, установка сторонних компонентов или отключение функций защиты могут вывести систему из сертифицированного состояния, и на проверке это станет нарушением.
Вторая проблема — обновления. Прикладные решения в защищённом исполнении обновляются по отдельному циклу, и обновлять их нужно строго дистрибутивами, предназначенными для ЗПК. Попытка поставить обновление от обычной версии конфигурации может нарушить целостность комплекса.
Также стоит учитывать требования к кадрам: администрирование защищённого контура требует понимания как платформы 1С, так и основ защиты информации. Если такого специалиста нет, сопровождение разумно передавать организации, имеющей опыт эксплуатации сертифицированных решений.
Проверка результата и сопровождение
После внедрения работоспособность защищённого контура проверяется регулярно, а не один раз. Контролируются журналы событий безопасности, актуальность версий платформы и конфигураций, корректность работы механизмов аутентификации и разграничения доступа.
При плановых изменениях — обновлении конфигурации, добавлении пользователей, изменении структуры прав — каждое действие выполняется по регламенту и документируется. Такой порядок не только снижает риск сбоев, но и формирует доказательную базу для проверок.
Как проверить состояние защищённого контура
Соответствуют актуальным дистрибутивам ЗПК
Установлены версии из обычных источников обновлений
События фиксируются, журнал доступен для анализа
Журнал пуст, отключён или перезаписывается
Персональные записи, пароли соответствуют политике
Общие учётные записи, простые или бессрочные пароли
Все функции защиты активны согласно документации
Часть механизмов отключена администратором
Перед покупкой ЗПК запросите у поставщика копию сертификата и формуляра и покажите их специалисту по информационной безопасности или аудитору, который будет принимать систему. Это займёт один день, но исключит ситуацию, когда приобретённое решение не закрывает конкретные требования вашей проверки.
Частые вопросы о 1С ЗПК
1С ЗПК — это отдельная конфигурация или платформа?
Это защищённый вариант платформы «1С:Предприятие 8» вместе с адаптированными прикладными решениями. Учётный функционал повторяет типовые конфигурации, отличия сосредоточены в сертифицированных механизмах защиты и порядке эксплуатации.
Можно ли перенести данные из обычной 1С в ЗПК?
Да, миграция возможна, поскольку прикладные решения в составе ЗПК основаны на типовых конфигурациях. Перенос выполняется на копии базы с последующей проверкой корректности данных, а сама процедура планируется с учётом требований эксплуатационной документации защищённого комплекса.
Обязателен ли ЗПК для обработки персональных данных?
Законодательство требует обеспечить защиту персональных данных, но не предписывает конкретный продукт. ЗПК — один из способов выполнить требования сертифицированным средством; выбор зависит от уровня защищённости вашей ИСПДн, модели угроз и решения, которое примет ваша служба безопасности или аудитор.
Чем грозит установка обычного обновления конфигурации в ЗПК?
Такое обновление нарушает целостность защищённого комплекса и выводит систему из сертифицированного состояния. При проверке это будет зафиксировано как несоответствие. Обновления нужно получать только в виде дистрибутивов, предназначенных для ЗПК.
Кто должен администрировать защищённый комплекс?
Администрирование требует знаний платформы 1С и основ защиты информации, а также соблюдения регламентов из эксплуатационной документации. Если в штате нет такого специалиста, сопровождение поручают организации с опытом эксплуатации сертифицированных решений 1С.
Что важно запомнить
1С ЗПК — сертифицированный ФСТЭК защищённый комплекс на платформе 1С:Предприятие 8 для организаций, которые обязаны подтвердить защищённость учётных систем. Он оправдан при требованиях регуляторов и избыточен для обычного коммерческого учёта. Ключевые условия успешной эксплуатации — соблюдение условий сертификации, обновления только дистрибутивами ЗПК и квалифицированное сопровождение.