пять админов уволились, а пароль от сервера 1С остался прежним

Проверить доступ к серверу 1С можно за один рабочий день: собрать список локальных учётных записей Windows или Linux на сервере, сверить его со списком действующих сотрудников и подрядчиков, затем отозвать учётки уволенных и сменить общие пароли администратора. Без этого шага бывший сотрудник или подрядчик может годами держать рабочий доступ к базе.

случай: два года без права доступа

В компании из 35 человек (оптовая торговля стройматериалами, Подмосковье) сисадмин уволился в 2023 году. Передал дела новому специалисту, отдал пароли от 1С, но никто не проверил список Windows-администраторов на самом сервере. Бывший сотрудник ушёл к конкуренту, но его учётка осталась активной.

Через полтора года бухгалтерия заметила, что цены в прайс-листе меняются без объяснимой причины, а один и тот же клиент получает скидку выше согласованной. Расследование заняло три недели: смотрели логи 1С, историю изменений документов, журнал регистрации. Оказалось, бывший сотрудник заходил на сервер через RDP по старому паролю и правил справочник цен в интересах нового работодателя.

Ставка была не абстрактной: компания оценила потери от заниженных цен за полтора года в сумму, сопоставимую с годовым фондом оплаты труда одного менеджера по продажам. Плюс три недели работы штатного бухгалтера и приглашённого специалиста на расследование, плюс репутационный риск перед поставщиками, которым пришлось объяснять расхождения в отгрузках.

что проверять на сервере в первую очередь

Список учётных записей операционной системы и список пользователей 1С — это два разных списка, и совпадать они не обязаны. Учётка Windows или Linux даёт доступ к самому серверу: файлам базы, реестру, службам. Пользователь 1С — это доступ внутри программы, с ролями и правами на документы.

Проверка начинается с трёх вопросов. Кто может зайти на сервер по RDP или SSH. Кто состоит в группе локальных администраторов. Какие пароли не менялись с момента найма текущего сисадмина или с момента передачи сервера на аутсорс.

командная строка для Windows Server

Команда net localgroup Administrators в консоли сервера выводит полный список учётных записей с правами администратора. Если в списке есть имена людей, которые уже не работают в компании, или общие учётки вроде admin1, admin2 без привязки к конкретному человеку — это повод для немедленной чистки.

кто обычно остаётся в списке доступа незамеченным

Проблема редко в штатных сотрудниках — их увольнение обычно фиксируют. Забывают про подрядчиков.

• ✓Фрилансер, который настраивал обмен с сайтом полтора года назад и получил временный доступ «на пару дней»
• ✓Компания-интегратор, внедрявшая 1С три года назад и оставившая свою учётку для гарантийной поддержки
• ✓Бухгалтер на аутсорсе, с которым расторгли договор, но не отозвали доступ к базе
• ✓Бывший ИТ-директор, который лично настраивал сервер и знает пароль root или администратора домена

Каждый такой доступ — не теоретический риск, а конкретная точка, откуда можно скачать базу с персональными данными клиентов и сотрудников. Утечка персональных данных подпадает под требования 152-ФЗ (текст закона), и штраф за неё компания платит независимо от того, кто именно слил данные — бывший сотрудник или действующий.

сравнение: как контролировать доступ при разных моделях сервера

как навести порядок за один день

Первый шаг — выгрузить список пользователей 1С через конфигуратор: раздел «Администрирование» → «Пользователи». Второй — выгрузить список учётных записей операционной системы сервера. Третий — сверить оба списка с актуальным штатным расписанием и действующими договорами подряда.

Дальше отзывается доступ у всех, кто не работает в компании и не имеет действующего договора. Меняются пароли у общих учётных записей администратора — если несколько человек когда-либо знали один пароль, после увольнения любого из них пароль нужно менять. Включается журнал регистрации 1С, если он был отключён, чтобы фиксировать, кто и когда заходил в базу.

Если сервер стоит в офисе на устаревшем железе, аудит осложняется тем, что журналы могут не сохраняться из-за нехватки места на диске, а сама база тормозит настолько, что бухгалтерия просит отключить логирование ради скорости. В такой ситуации разумнее не латать старый сервер, а перенести базу на арендованный сервер для 1С: там достаточно ресурсов, чтобы вести полный журнал событий без потери производительности, и провайдер несёт ответственность за то, кто физически имеет доступ к оборудованию.

что делает провайдер, а что остаётся на вашей стороне

При аренде сервера возникает разделение ответственности, которое стоит проговорить с провайдером письменно. Физический доступ к оборудованию, резервное копирование инфраструктуры и защита канала — задача провайдера. Список пользователей внутри 1С, их роли и права на документы — задача клиента, и её никто за вас не сделает.

У UKVED сервер для 1С стоит от 1 100 ₽ в месяц за пользователя, и в стоимость входит панель, где видно, кто из администраторов подключался к серверу и когда. Если нужна помощь с настройкой прав пользователей внутри самой 1С — например, чтобы менеджер по продажам не мог редактировать справочник цен, а видел только свои документы — сопровождение 1С и работа сисадмина обходятся от 3 800 ₽ в час, разово или по договору.

Для компаний, где 1С работает на выделенных мощностях под тяжёлую конфигурацию вроде ERP, разграничение прав настраивают на уровне сервера под 1С:ERP — там же настраивается резервное копирование журнала регистрации, чтобы историю доступа нельзя было незаметно затереть.

как не допустить повтора

Разовая чистка списка пользователей решает проблему на сегодня, но через год ситуация повторится, если не встроить проверку в регулярный процесс. Практика, которая работает: при увольнении любого сотрудника с доступом к 1С или серверу — не только бухгалтера, но и менеджера, кладовщика, программиста — отзыв доступа входит в чек-лист кадровой службы наравне со сдачей пропуска.

Раз в квартал стоит запрашивать у того, кто администрирует сервер, актуальный список учётных записей с правами администратора — вне зависимости от того, свой это сотрудник или подрядчик. Если настройка сервера 1С изначально сделана с разделением ролей — отдельная учётка для администрирования, отдельная для резервного копирования, отдельная для обычной работы — отозвать доступ одного человека можно, не трогая остальных.

❓ Частые вопросы

Как быстро узнать, кто имеет доступ к серверу 1С прямо сейчас?

На Windows Server выполните команду net localgroup Administrators — она покажет всех, у кого есть права администратора на сервере. Отдельно проверьте список пользователей внутри 1С через конфигуратор в разделе «Администрирование».

Нужно ли менять пароль администратора, если уволился один из нескольких человек, кто его знал?

Да, обязательно. Если пароль был общим для нескольких человек, после увольнения любого из них его нужно сменить — иначе доступ формально сохраняется у уволенного сотрудника.

Кто отвечает за физический доступ к серверу при аренде у провайдера?

Физическую безопасность оборудования и доступ к дата-центру обеспечивает провайдер. Список пользователей внутри 1С, их роли и права на документы настраивает и контролирует клиент.

Сколько стоит настроить разграничение доступа для сотрудников в 1С?

Сопровождение 1С и работа сисадмина по настройке прав пользователей стоит от 3 800 ₽ в час. Для типовой конфигурации разграничение ролей обычно занимает несколько часов.

Что делать, если журнал регистрации 1С не показывает историю входов подрядчика?

Проверьте, включён ли журнал регистрации и не ограничен ли срок хранения записей настройками очистки. На слабом сервере журнал часто отключают ради скорости — перенос базы на более мощный арендованный сервер снимает это ограничение.