Как крадут базу 1С и как защитить данные компании

Фраза «как украсть базу 1С» чаще всего означает не кинематографичный взлом, а банальное копирование данных человеком, у которого уже есть доступ: увольняющийся сотрудник, сторонний франчайзи, подрядчик по обслуживанию. Понимание реальных сценариев кражи нужно администратору и руководителю для построения защиты — именно с этой целью ниже разобраны типовые способы хищения, признаки компрометации и меры противодействия.

Несанкционированное копирование чужой базы — уголовно наказуемое деяние (неправомерный доступ к компьютерной информации, нарушение тайны персональных данных, коммерческий шпионаж). Материал написан для защитной стороны: владельца базы, системного администратора, специалиста по информационной безопасности.

Что именно пытаются украсть и в каком виде хранится база

Файловая база — это один файл 1Cv8.1CD в сетевой папке. Кто получил к нему доступ на чтение — тот фактически получил всю базу: документы, контрагентов, цены, зарплаты. Достаточно скопировать файл на флешку или отправить по сети.

Клиент-серверный вариант хранит данные в СУБД (MS SQL, PostgreSQL). Здесь ценность представляют: бэкапы СУБД, файлы данных, а также выгрузки .dt, которые регулярно делают администраторы и франчайзи для обновлений. Отдельный риск — архивы регламентного резервного копирования, которые часто лежат в открытой сетевой папке без шифрования.

Типовые сценарии кражи базы

Копирование файловой базы или бэкапа

Самый частый сценарий: сотрудник с доступом к серверу или сетевой папке копирует 1Cv8.1CD либо архив резервной копии. Для файловой базы достаточно прав на чтение каталога — никакого взлома не требуется.

Выгрузка через конфигуратор или встроенные механизмы

Пользователь с правами администратора делает выгрузку .dt за несколько минут. Даже без прав администратора возможны выгрузки через стандартные обработки: универсальный обмен данными, выгрузка справочников контрагентов и номенклатуры в Excel или CSV. Часто крадут не всю базу, а именно клиентскую базу и прайсы — это проще и менее заметно.

Доступ к СУБД и к резервным копиям

Зная пароль администратора SQL-сервера, можно подключиться к базе напрямую или забрать файлы бэкапов. Отдельный канал утечки — облачные хранилища и личные почты, куда сотрудники отправляют архивы «для работы из дома».

Сторонние обработки и подрядчики

Внешняя обработка .epf, запущенная в базе, может тихо выгрузить данные на внешний сервер. Поэтому обработки от непроверенных источников — реальный вектор кражи, а не только источник вирусов.

Признаки того, что базу могли скопировать

Прямых следов копирование файла почти не оставляет, но косвенные признаки есть: входы в базу в нерабочее время или в дни отпуска сотрудника, активность учётной записи уволенного специалиста, появление новых административных учёток, сбои регламентных заданий из-за блокировок во время «лишних» выгрузок.

В журнале регистрации стоит искать события выгрузки информационной базы, изменения прав доступа, запуска внешних обработок. На уровне ОС — обращения к файлу 1Cv8.1CD вне рабочего графика и копирование больших объёмов данных на съёмные носители.

Контрольные точки

Как проверить признаки компрометации

Журнал регистрации 1С

Норма

Выгрузки и обновления только по расписанию обслуживания

Тревожный признак

Выгрузки .dt в нерабочее время или от неизвестных учёток

Список администраторов

Норма

Только штатные специалисты, список зафиксирован

Тревожный признак

Новые учётные записи с полными правами

Доступ к каталогу бэкапов

Норма

Доступ только у службы резервного копирования и администратора

Тревожный признак

Чтение каталога разрешено группе пользователей

Активность уволенных

Норма

Учётные записи отключены в день увольнения

Тревожный признак

Входы после увольнения или активные сеансы

Как защитить базу: права, доступ, носители

Первый шаг — минимизация прав. Полные права и право выгрузки .dt должны быть только у узкого круга администраторов; рядовым пользователям запрещается выгрузка данных, доступ к конфигуратору и запуск внешних обработок без контроля. В файловом варианте доступ к сетевой папке с базой выдаётся только служебным учёткам, пользователи работают через публикацию на веб-сервере или терминальный доступ.

Второй контур — физический и сетевой контроль: запрет или контроль USB-носителей на машинах с доступом к базе, аудит файловых операций с каталогом базы и бэкапов, шифрование архивов резервных копий и хранение ключей отдельно от самих архивов.

1. 1
   Составьте список всех учётных записей с полными правами и сократите его до минимума
2. 2
   Закройте пользователям доступ к каталогу файловой базы и к каталогу резервных копий
3. 3
   Включите шифрование бэкапов и храните пароли от архивов отдельно
4. 4
   Настройте журнал регистрации: выгрузки, изменение прав, запуск внешних обработок
5. 5
   Введите процедуру отключения всех доступов в день увольнения сотрудника
6. 6
   Проверьте результат тестовой попыткой выгрузки под обычным пользователем

Контроль подрядчиков и франчайзи

Обновления и доработки часто выполняют внешние специалисты, и именно через них уходит значительная часть баз. Правильная практика: подрядчик работает на копии с обезличенными данными либо на выделенном контуре под наблюдением; личные пароли администратора ему не передаются — создаётся временная учётная запись, которая отключается после работ.

Договор должен содержать соглашение о конфиденциальности и ответственность за разглашение. Передачу базы подрядчику фиксируйте документально: что передано, когда, в каком виде, когда удалено.

Что делать, если кража уже произошла

Зафиксируйте следы: сохраните журналы регистрации 1С, логи ОС и СУБД, данные систем видеонаблюдения и СКУД. Не удаляйте учётные записи подозреваемого до фиксации — сначала снимите копии журналов, затем блокируйте доступ и меняйте все пароли, включая служебные учётки SQL и Windows.

Оцените состав утечки: если в базе были персональные данные, возможны обязанности по уведомлению регулятора и субъектов данных. Дальнейшие шаги — обращение в правоохранительные органы и юридическая оценка ущерба; самостоятельные «расследования» с удалением файлов могут уничтожить доказательства.

Ограничения технических мер

Полностью исключить кражу невозможно: сотрудник с легальным доступом может сфотографировать экран или вручную переписать данные. Технические меры снижают риск массовой утечки и оставляют следы, но не заменяют кадровую работу, разграничение доступа по принципу «нужно для работы» и юридические инструменты.

Практический ориентир: защита считается работающей, если выгрузка целой базы невозможна без административных прав, все административные действия журналируются, а бэкапы бесполезны без ключей шифрования.

Можно ли узнать, кто скопировал файл базы 1Cv8.1CD?

Штатный журнал 1С это не фиксирует, так как копирование идёт мимо платформы. Помогает аудит файловой системы Windows (доступ к объектам) или специализированные DLP-средства — их нужно настроить заранее, задним числом следы восстановить почти невозможно.

Защищает ли пароль на входе в 1С от кражи базы?

Нет. Пароль защищает только вход через интерфейс. Если у человека есть доступ к самому файлу базы или бэкапу, он откроет копию на другом компьютере, где задаст свои пароли. Поэтому критичен контроль доступа к файлам и архивам, а не только к учётным записям 1С.

Что безопаснее: файловый или клиент-серверный вариант?

Клиент-серверный заметно безопаснее: пользователи не имеют прямого доступа к файлам данных, работают через сервер приложений, а права в СУБД ограничены служебной учётной записью. Файловая база копируется целиком любым, кто может читать сетевую папку.

Как передать базу франчайзи на обновление безопасно?

Лучше передать копию с очищенными персональными данными или организовать удалённую работу на вашем сервере под временной учётной записью. Передачу фиксируйте актом, требуйте удаления копии после работ и подписывайте соглашение о конфиденциальности.

Что делать в первый день после увольнения администратора 1С?

Отключите его учётные записи в 1С, домене, SQL и на сервере; смените все пароли, которые он мог знать, включая служебные; проверьте список администраторов на наличие созданных им «запасных» учёток и просмотрите журнал регистрации за последние недели на предмет выгрузок.

Отвечает ли сотрудник за кражу базы юридически?

Да. Неправомерный доступ и копирование данных могут квалифицироваться как уголовное преступление, а также как нарушение законодательства о персональных данных и коммерческой тайне. Для привлечения к ответственности важны зафиксированные журналы и доказательства, поэтому аудит нужно настраивать до инцидента.