Администрирование · 11 мин
Как защитить базу 1С от потери данных и несанкционированного доступа
Практическое руководство по защите базы 1С: настройка прав доступа, паролей, резервное копирование, защита от шифровальщиков и утечек данных.
База 1С содержит самое ценное в компании: данные о контрагентах, ценах, зарплатах, складах и деньгах. Утечка или потеря этой информации способна остановить работу предприятия на дни и недели. При этом большинство инцидентов происходит не из-за изощрённых хакерских атак, а из-за простых просчётов: пустых паролей, отсутствия резервных копий и прав «на всех подряд».
Защита базы 1С строится по слоям: разграничение прав внутри программы, защита файловой системы и сети, регулярное резервное копирование, контроль внешних подключений. Слабое звено в любом из слоёв сводит на нет остальные меры.
Ниже разобраны конкретные шаги для файловых и клиент-серверных баз: что настроить в первую очередь, какие ошибки встречаются чаще всего и как проверить, что защита действительно работает.
Определите, от чего защищаете базу
Прежде чем настраивать, важно понять реальные угрозы. Для базы 1С они делятся на четыре группы: потеря данных (сбой диска, авария, пожар), шифрование вирусом-вымогателем, утечка данных (копирование базы сотрудником или посторонним) и повреждение данных изнутри (ошибочное удаление документов, некорректные обработки).
От каждой угрозы есть своя мера, и они не взаимозаменяемы. Резервная копия не спасёт от утечки, а сложный пароль — от шифровальщика, который работает на уровне файловой системы. Поэтому защита всегда комплексная.
Высокий риск несанкционированного входа и невозможность установить, кто внёс изменения
При сбое потеряются данные за дни или недели
Любой пользователь может удалить документы или выгрузить всю базу
Базу может скопировать или зашифровать любой компьютер в сети
Настройте пользователей, пароли и роли
Первое правило: у каждого сотрудника — своя учётная запись с личным паролем. Работа нескольких человек под одним пользователем делает бессмысленным журнал регистрации: при инциденте невозможно установить, кто именно удалил документ или изменил цены.
В конфигураторе (раздел «Администрирование» → «Пользователи») задайте политику паролей: минимальная длина, запрет повторного использования, ограничение срока действия. Для типовых конфигураций часть этих настроек доступна и в пользовательском режиме через раздел администрирования.
Полные права оставьте минимальному числу людей — как правило, это администратор базы и, при необходимости, руководитель. Остальным назначайте роли по принципу минимально необходимого: кассиру не нужен доступ к зарплате, менеджеру по продажам — к регистрам бухгалтерии. В типовых конфигурациях есть готовые профили групп доступа, которые покрывают большинство должностей.
Ограничьте доступ к базе на уровне сети и файлов
Для файловых баз самое уязвимое место — общая папка с файлом 1Cv8.1CD. Любой, у кого есть доступ к этой папке по сети, может скопировать базу целиком и унести её на флешке, а вирус-шифровальщик на любом компьютере с доступом — зашифровать её.
Меры для файлового варианта: раздавайте права на сетевую папку только тем, кто реально работает с базой; отключите доступ «для всех»; не публикуйте папку с гостевым доступом. По возможности рассмотрите переход на клиент-серверный вариант (1С:Сервер + СУБД) или веб-серверную публикацию — в этих схемах пользователи вообще не имеют прямого доступа к файлам базы.
Для клиент-серверных баз ограничьте доступ к серверу СУБД: пароль администратора базы данных должен знать только администратор, порт СУБД не должен быть доступен извне локальной сети. Учётная запись, под которой 1С обращается к СУБД, не должна совпадать с административной.
Организуйте резервное копирование, которое реально работает
Резервная копия — единственная гарантия против потери данных и шифровальщиков. Базовые требования: копии создаются автоматически по расписанию (для активно используемой базы — ежедневно), хранятся минимум в двух местах и хотя бы одна копия находится вне основного сервера и вне сети, доступной с рабочих компьютеров.
Критически важный момент: шифровальщик зашифрует и копии, если они лежат в сетевой папке, доступной с заражённого компьютера. Поэтому каталог с бэкапами должен быть доступен только учётной записи, под которой работает служба копирования, либо копии должны выгружаться на внешний носитель, в облачное хранилище с версионированием или на отдельный сервер без общего доступа.
Для файловых баз копирование средствами 1С (выгрузка в .dt через конфигуратор или пакетный режим) надёжнее простого копирования файла 1Cv8.1CD, особенно если база открыта пользователями. Для клиент-серверных баз используйте штатные средства СУБД — они создают согласованные копии без остановки работы.
- 1Определите расписание: ежедневно в нерабочее время, при интенсивной работе — чаще
- 2Настройте автоматическую выгрузку (.dt для файловой базы, средства СУБД для клиент-серверной)
- 3Настройте копирование архивов на второе независимое хранилище без общего сетевого доступа
- 4Ограничьте глубину хранения: например, ежедневные копии за 2 недели, еженедельные — за 2 месяца
- 5Раз в месяц выполняйте тестовое восстановление копии в отдельный каталог и проверяйте, что база открывается
- 6Настройте уведомление администратора об ошибках задания копирования
Как проверить, что защита работает
Копия разворачивается, база открывается, документы на месте
Копия не открывается или повреждена — схема копирования не работает
Видно, какой пользователь когда входил и что менял
Журнал пуст или отключён — расследовать инциденты невозможно
Доступ только у рабочих учётных записей пользователей 1С
Доступ «Все» или гостевой доступ
Последняя копия не старше суток
Копии не создавались неделями — задание сломано
Защитите базу от шифровальщиков и утечек
Основной канал проникновения шифровальщиков — рабочие станции: вложения в письмах, скачанные «кряки» и макросы. Поэтому защита базы начинается с защиты компьютеров: актуальный антивирус, своевременные обновления операционной системы, запрет макросов из интернета, работа пользователей без прав локального администратора.
Почтовый и веб-трафик стоит фильтровать: большинство заражений приходит через фишинговые письма с темами «счёт», «акт сверки», «исковое заявление». Обучите сотрудников базовому правилу: не открывать вложения и архивы от неизвестных отправителей, даже если письмо выглядит как деловое.
Против утечек работают организационные меры: отключение учётных записей уволенных сотрудников в день увольнения, запрет копирования базы без согласования, контроль выгрузок (право «Выгрузка данных» и доступ к отчётам с персональными данными — только тем, кому это нужно по работе). Журнал регистрации позволяет отследить массовые выгрузки и подозрительную активность.
Контролируйте внешние подключения и обновления
Если база опубликована на веб-сервере или доступна через тонкий клиент из интернета, требования к защите возрастают: обязателен HTTPS с действующим сертификатом, сложные пароли, по возможности — ограничение доступа по IP или VPN. Открытая в интернет публикация 1С со слабым паролем — частая точка входа злоумышленников.
Обновления платформы и конфигурации закрывают известные уязвимости, поэтому откладывать их надолго не стоит. Но обновляйте по правилам: сначала на тестовой копии базы, затем на рабочей, обязательно со свежей резервной копией перед началом.
Интеграции с внешними сервисами (обмены с сайтом, банками, ЭДО) проверяйте на предмет хранения паролей: учётные данные не должны лежать в открытом виде в коде обработок или в текстовых файлах на общем диске.
Как выбрать архитектуру защиты
Частые вопросы о защите базы 1С
Достаточно ли пароля на вход в 1С для защиты базы?
Нет. Пароль защищает только вход через интерфейс 1С. Файл базы 1Cv8.1CD в общей папке можно скопировать и открыть на другом компьютере, а шифровальщик работает вообще без входа в программу. Пароль — только один из слоёв, обязательны ещё права на файлы, резервные копии и антивирусная защита.
Как часто нужно делать резервные копии?
Ориентируйтесь на допустимый объём потерь: сколько дней работы вы готовы вводить заново. Для большинства компаний разумный минимум — ежедневная копия в нерабочее время. При интенсивном вводе документов имеет смысл дополнительное копирование в течение дня.
Чем выгрузка в .dt отличается от копирования файла базы?
Выгрузка в .dt выполняется штатными средствами платформы и гарантирует целостность данных. Простое копирование файла 1Cv8.1CD во время работы пользователей может дать повреждённую копию. Если копируете файл напрямую, все сеансы должны быть завершены.
Зашифровали базу вирусом, копий нет. Что делать?
Отключите заражённые компьютеры от сети, ничего не удаляйте. Проверьте, нет ли копий у франчайзи 1С, в облачных сервисах синхронизации или на старых носителях. Универсальных дешифраторов для большинства вымогателей не существует, поэтому оплата выкупа результата не гарантирует. После инцидента систему нужно полностью переустанавливать и восстанавливать данные из найденных копий.
Нужно ли шифровать диск с базой 1С?
Шифрование диска (BitLocker и аналоги) защищает от утечки при краже оборудования, но не от шифровальщиков и не от копирования по сети во время работы системы. Это полезная дополнительная мера для серверов и ноутбуков, но заменой резервного копирования и разграничения прав она не является.
Кто должен отвечать за защиту базы в небольшой компании?
Ответственность должна быть закреплена за конкретным человеком: штатным системным администратором, обслуживающей организацией или франчайзи 1С. Главное — не оставлять вопрос «в воздухе»: кто-то должен регулярно проверять создание копий, состояние учётных записей и журнал регистрации.
Что важно запомнить
Защита базы 1С — это слои: личные учётные записи и минимальные роли, ограничение доступа к файлам и серверу, автоматические резервные копии вне рабочей сети, антивирус и контроль внешних подключений. Регулярно проверяйте восстановление копий и актуальность прав — защита без проверки считается несуществующей.