Аудит безопасности 1С в Новосибирске

В базе 1С хранится то, что не должно попасть в чужие руки: зарплаты сотрудников, персональные данные, банковские реквизиты, коммерческая тайна, история всех хозяйственных операций. При этом многие компании годами работают в 1С, ни разу не проверяя, кто на самом деле имеет доступ к этим данным. Бывшие сотрудники сохраняют права «Полные права», пароли не меняются годами, резервные копии лежат на том же сервере, что и сама база, а журнал регистрации не анализируется. Аудит безопасности 1С от «Бухтеки» — это независимая проверка, которая показывает реальную картину: где система уязвима, какие данные под угрозой и что нужно сделать, чтобы закрыть риски до того, как они станут инцидентом.

Почему аудит безопасности 1С — это не «роскошь», а необходимость

Многие воспринимают безопасность 1С как «что-то из мира крупных корпораций». На практике риски есть у любого бизнеса, который работает с персональными данными и деньгами. Вот лишь несколько типовых сценариев, которые мы регулярно выявляем в ходе аудита:

• «Мёртвые души» с полными правами. Уволенные сотрудники, подрядчики, «временные» помощники — их учётные записи часто остаются активными. Человек уже не работает, но по-прежнему может выгрузить всю базу или изменить проводки. В ходе аудита мы формируем список пользователей с правами «Полные права» и показываем, кто из них не должен был бы иметь такой доступ.

• Конфликтные полномочия. Один и тот же пользователь может одновременно создавать документы и утверждать их, вносить изменения в справочники и удалять их. Это не только риск ошибки, но и потенциал для злоупотреблений.

• Резервные копии, которые не спасают. Бэкапы делаются, но лежат на том же диске, что и рабочая база, или не проверяются на восстановление. В случае сбоя или атаки «шифровальщика» компания теряет и данные, и копии.

• Настройки сервера и RDP «по умолчанию». Открытые порты, слабые пароли, отсутствие ограничений по IP — типовые «дыры», через которые возможен несанкционированный доступ к базе 1С.

• Нарушения 152-ФЗ. Персональные данные сотрудников и контрагентов обрабатываются без надлежащих согласий, без уведомления Роскомнадзора, без обезличивания при утрате актуальности. Это прямые основания для штрафов и предписаний.

Аудит безопасности 1С позволяет выявить эти проблемы до того, как они приведут к утечке, финансовым потерям или претензиям регулятора.

Что входит в аудит безопасности 1С у «Бухтеки»

Мы проверяем систему по нескольким направлениям, чтобы получить целостную картину, а не «лоскутный» отчёт.

1. Аудит прав доступа и ролей. Это ядро проверки. Мы анализируем:

• список пользователей и их фактические права (включая «унаследованные» и забытые учётные записи);

• профили и роли, их соответствие должностным обязанностям;

• наличие конфликтных полномочий (создание + утверждение, изменение + удаление);

• настройки RLS (ограничения доступа на уровне записей), если они используются.

Результат — карта доступов с перечнем пользователей, чьи права избыточны или не соответствуют текущей роли.

2. Аудит журнала регистрации и мониторинга событий. Мы проверяем, включён ли журнал регистрации, какие события в нём фиксируются, хранится ли история изменений конфигурации и критичных данных. Отдельно смотрим, анализируется ли журнал — потому что сам факт его наличия без мониторинга не даёт защиты.

3. Аудит серверной инфраструктуры и резервного копирования. Проверяем настройки сервера 1С, параметры аутентификации, ограничения по RDP и сетевому доступу, а также регламент резервного копирования: где хранятся копии, как часто делаются, тестируется ли восстановление. Отдельный пункт — защита от программ-вымогателей и наличие «холодных» или офлайн-копий.

4. Проверка соответствия требованиям 152-ФЗ. Мы оцениваем, как в системе обрабатываются персональные данные: есть ли согласия, соблюдаются ли сроки хранения, применяется ли обезличивание, уведомлён ли Роскомнадзор. При необходимости помогаем с организационно-распорядительной документацией — внутренними документами, которые необходимы для обеспечения защиты персональных данных согласно закону №152-ФЗ.

5. Отчёт с приоритетами и планом устранения. Главный результат аудита — не «список страшных слов», а понятный документ, в котором:

• перечислены выявленные уязвимости и риски;

• указано, какие из них критичны (требуют немедленного закрытия), а какие можно отнести к плановым;

• предложены конкретные шаги по устранению — с оценкой трудозатрат и ориентировочной стоимостью.

Сколько стоит аудит безопасности 1С и от чего зависит цена

Стоимость аудита сильно различается в зависимости от глубины проверки и размера базы. Рыночные ориентиры:

• Экспресс-аудит (Health Check) для типовых баз (БП, ЗУП, УНФ) до 50 ГБ и менее 10 пользователей — от 20 000 ₽, сроки 1–3 дня.

• Аудит производительности и безопасности для ERP/КА/УТ от 100 ГБ — от 80 000 ₽, сроки 1–2 недели.

• Полный аудит архитектуры и безопасности для баз, снятых с поддержки, с многолетними доработками — от 150 000 ₽, сроки 2–4 недели.

• Аудит информационной безопасности как отдельная услуга у IT-аутсорсеров — от 120 000 ₽, сроки от 5 рабочих дней.

При этом важно понимать: «бесплатный аудит от франчайзи» — это, как правило, скрипт на 5 минут, цель которого — напугать и продать часы сопровождения. Реальный аудит — это ручная работа архитектора и специалиста по безопасности, которая требует времени и компетенций.

Мы в «Бухтеке» называем цену до начала работ и фиксируем её в договоре. После аудита вы получаете отчёт, на основании которого можно принимать решения — как самостоятельно, так и с нашей помощью.

Почему аудит безопасности 1С стоит доверить «Бухтеке»

На рынке есть компании, которые проверяют безопасность «в вакууме»: смотрят настройки, выдают список рекомендаций — и на этом всё. «Бухтека» — это бухгалтерская компания, которая понимает, как ошибки в правах доступа и настройках 1С отражаются на учёте и отчётности. Мы не просто говорим «закройте доступ этому пользователю». Мы объясняем, какие проводки и отчёты он может изменить, к каким последствиям это приведёт и как выстроить права так, чтобы и безопасность была на уровне, и работа бухгалтерии не остановилась.

Кроме того, мы не «продаём» аудит как самоцель. Если в ходе проверки выявляются проблемы, мы предлагаем поэтапный план их устранения — с приоритетами и прозрачной сметой. Вы можете закрыть критичные риски сразу, а остальное — по мере возможностей.

Хотите узнать, кто на самом деле имеет доступ к вашей базе 1С и какие данные под угрозой?Оставьте заявку — мы проведём аудит безопасности и покажем реальную картину рисков с планом их устранения.