Чек-лист безопасности 1С: 36 проверок для самостоятельного аудита

Безопасность 1С складывается не из одной настройки. На неё одновременно влияют конфигурация кластера, права пользователей, внешние обработки, доступ к СУБД, резервные копии и веб-публикации.

Ниже — базовый чек-лист из 36 проверок, который поможет провести первичный аудит безопасности 1С и быстро найти наиболее очевидные проблемы.

Отмечайте выполненные пункты и отдельно фиксируйте те, которые требуют доработки.

---

1. Кластер и сервер 1С

• • У администратора кластера установлен надёжный пароль.
• • Административные интерфейсы RAC/RAS ограничены по сети.
• • Службы 1С работают от выделенных технических учётных записей.
• • Учётная запись службы 1С не имеет избыточных доменных или локальных административных прав.
• • Продуктивный контур отделён от тестового и разработческого.
• • Административные действия и изменения настроек журналируются.

---

2. Пользователи и роли

• • В базе отсутствуют активные учётные записи уволенных сотрудников.
• • Неактивные и временные учётные записи регулярно пересматриваются.
• • У пользователей с аутентификацией 1С отсутствуют пустые пароли.
• • Настроена политика сложности паролей и ограничения неудачных попыток входа.
• • Административные роли назначены только тем пользователям, которым они необходимы.
• • Технические пользователи имеют минимально необходимые права и понятного владельца.

---

3. Внешние обработки, расширения и интеграции

• • Обычные пользователи не могут произвольно запускать внешние обработки.
• • Все используемые .epf и .erf имеют известный источник и владельца.
• • Перед вводом в эксплуатацию внешние обработки проходят проверку.
• • Ведётся инвентаризация установленных расширений конфигурации.
• • Неиспользуемые веб-сервисы, OData и другие интерфейсы отключены.
• • Пароли, токены и API-ключи интеграций не хранятся в открытом виде в коде и файлах.

---

4. СУБД и файловая система

• • Доступ к СУБД разрешён только с необходимых серверов и административных узлов.
• • Для работы 1С не используется максимально привилегированная учётная запись СУБД без необходимости.
• • У учётных записей СУБД отсутствуют пустые и слабые пароли.
• • Доступ к каталогам srvinfo и другим служебным файлам ограничен ACL или правами файловой системы.
• • Системные и сервисные каталоги 1С недоступны обычным пользователям на запись.
• • Серверная ОС регулярно обновляется и имеет ограниченный административный доступ.

---

5. Резервные копии

• • .dt, .1cd, дампы СУБД и другие копии не хранятся в открытых сетевых папках.
• • Доступ к резервным копиям ограничен отдельными правами.
• • Резервные копии защищены от удаления обычными пользовательскими учётными записями.
• • При передаче копий между площадками используется защищённый канал.
• • Для чувствительных данных применяется шифрование резервных копий или хранилища.
• • Восстановление из резервных копий регулярно тестируется.

---

6. Веб-доступ

• • Проведена инвентаризация всех веб-публикаций 1С.
• • Для удалённого доступа используется HTTPS.
• • Нет забытых или неиспользуемых веб-публикаций.
• • Продуктивная 1С не опубликована напрямую в интернет без дополнительных мер защиты.
• • Веб-сервер обновлён и настроен с учётом требований безопасности.
• • Журналы веб-сервера сохраняются и доступны для расследования инцидентов.

---

Что делать после проверки

Сам по себе чек-лист не даёт полной оценки защищённости системы, но хорошо показывает области, с которых стоит начать работу.

В первую очередь разберите пункты, связанные с:

• •административным доступом к кластеру;
• •избыточными правами пользователей и сервисных учётных записей;
• •запуском внешних обработок;
• •доступом к СУБД;
• •хранением резервных копий;
• •публикацией 1С во внешние сети.

После устранения проблем повторите проверку и сделайте такой аудит регулярным — особенно после обновлений платформы, изменений конфигурации, подключения новых интеграций и изменений инфраструктуры.

ВанСек помогает автоматизировать технический аудит безопасности 1С: анализировать конфигурации, код, пользователей, роли и параметры инфраструктуры, а также централизованно работать с найденными рисками.