Wie wird aktuell in Unternehmen Buchhaltung geführt? In der Regel handelt es sich um eine auf dem lokalen Computer des Buchhalters installierte 1C-Software, mit der ein hauptamtlicher Buchhalter oder ein Spezialist aus dem Outsourcing arbeitet. Der Outsourcer kann gleichzeitig mehrere solcher Kundenunternehmen betreuen, manchmal sogar konkurrierende.
Bei diesem Ansatz sind die Zugriffe auf die Geschäftskonten, die Mittel für die Krypto-Sicherheit, den elektronischen Dokumentenaustausch und andere wichtige Dienste direkt auf dem Computer des Buchhalters eingerichtet.
Was bedeutet das? Alles liegt in den Händen des Buchhalters, und wenn er beschließt, den Geschäftsinhaber zu hintergehen, dann wird er das im Handumdrehen tun.
Film „RocknRolla“ (2008)
In diesem Artikel werden wir darüber sprechen, wie man alle Dienste, einschließlich 1C, sicher in einer Cloud sperren kann, sodass Sie alle Dienste mit einem Klick abschalten können, selbst wenn der Buchhalter ins fantastische Bali geflogen ist.
Was kann überhaupt passieren? Zwei reale Fälle
Sysadmin von der Wall Street
Die Frau unseres Mitbegründers ist erfahrene Buchhalterin und letzten Monat wandte sich eine große Restaurantkette in Moskau um Hilfe an sie. Das Restaurant verwaltete alle Datenbanken auf seinem Server, um den sich ständig im Team des Restaurants befindenden Sysadmin.
Genau während der Arbeit des Buchhalters ging der Sysadmin ins Online-Casino und infizierte sich mit einem Virus, der die gesamte Datenbank vernichtete. Auf wen wurde alles geschoben? Richtig, auf den gerade erst angekommenen Buchhalter.
Das Glück der Heldin war, dass ihr Mann der geschäftsführende Partner eines Hostings ist und sich mit solchen Dingen auskennt. Nach langen Telefonstreitigkeiten (unser Kollege war schon bereit, zu fahren und dem Admin selbst die Meinung zu geigen) wurden Beweise gefunden und der Schuldige bestraft. Aber die Datenbank war verloren, das heißt, für den Sysadmin gab es kein Happy End.
Laptop, der in einer fremden Wohnung feststeckte
Das ist eine alte Geschichte von anderen Bekannten von uns.
Eine erfahrene Frau von 64 Jahren führte zuverlässig die Buchhaltung eines Online-Shops für chinesische Gadgets über 1C. Der Kunde und die Daten wurden auf einem Laptop gespeichert, den sie zur Arbeit bekommen hatte. Das war bequem: man konnte leicht mit den Büro-Druckern drucken, die Datenbank war klein und passte auf ein Netbook, man konnte es mit ins Landhaus oder nach Hause nehmen.
Dann geschah das Unglück: Am Freitagabend wurde sie mit einem Schlaganfall ins Krankenhaus gebracht. Das Netbook blieb zu Hause, weil die Buchhalterin verantwortungsbewusst war und die Arbeit für das Wochenende mitnahm.
Natürlich wurde der Laptop befreit, die Buchhalterin hat sich erholt, aber wenn man diese Situation in die Gegenwart überträgt und den Schlaganfall durch das Coronavirus ersetzt, dann nimmt die Operation zur Befreiung des Computers aus einer geschlossenen Wohnung ganz andere Dimensionen an.
Können zwei Katzen und ein Labrador Ihnen die Tür öffnen? Wenn sogar die Nachbarin die Blumen gießt und die Katzen füttert, wird sie Ihnen dann den Computer überlassen?
Lassen Sie uns zu 1C in der Cloud übergehen – welche Optionen für die Implementierung und Nutzung in der Cloud gibt es?
Welche Möglichkeiten gibt es überhaupt, mit 1C in der Cloud zu arbeiten?
Option 1. Client + unternehmensinterner Anwendungsserver + Datenbank
Geeignet für große Unternehmen, die die Dienste eines ganzen Teams von Buchhaltern benötigen. Diese Option ist ziemlich teuer (es werden viele zusätzliche Lizenzen benötigt), die werden wir nicht betrachten, da der Artikel die Einrichtung der Arbeit eines Buchhalters für ein kleines Unternehmen behandelt.
Option 2. 1C: Fresh
1C: Fresh ist eine ziemlich bequeme Möglichkeit, über den Browser mit 1C zu arbeiten. Es sind keine Einstellungen erforderlich: Bei der Anmietung einer solchen Lizenz wird alles von der Franchisegesellschaft selbst eingerichtet, Sie erhalten einen Benutzernamen und ein Passwort.
Aber es gibt zwei Nachteile:
✗ Hoher Preis: Der Basistarif für eine Anwendung erfordert eine Vorauszahlung für mindestens sechs Monate für zwei Arbeitsplätze – 6808 r.
✗ Sie können den VPS-Server, auf dem viele Unternehmen gleichzeitig arbeiten, nicht selbst einstellen. Ihnen wird nur der Zugang zu Ihrem Zimmer im Studentenwohnheim, basierend auf dem Prinzip des Shared Hostings, zugewiesen.
In Fresh gibt es auch die Konfiguration 1C: BusinessStart, deren Abonnement im Rahmen einer Aktion 400 r. pro Monat kostet. Die Möglichkeiten der Konfiguration sind erheblich eingeschränkt, ohne Aktion kostet das Abonnement 1000 r., und es muss ebenfalls mindestens für ein halbes Jahr bezahlt werden.
Option 3: Ihr eigener VPS, auf dem der 1C-Client und die Datenbank installiert sind.
Diese Option eignet sich für kleine Unternehmen, in denen 1-2 Buchhalter arbeiten – sie können durchaus komfortabel arbeiten, ohne einen 1C: Enterprise-Anwendungsserver und einen SQL-Server installieren zu müssen.
Der Hauptvorteil dieses Ansatzes besteht darin, dass der gemietete VPS als vollwertiger Arbeitsplatz für den Buchhalter mit RDP-Anschluss fungieren kann.
Wenn alle Datenbanken, Dokumente und Zugriffe auf einem VPS gespeichert sind, der Ihnen gehört, müssen Sie sich keine Sorgen mehr um in der Wohnung eingesperrte Laptops oder das gemeinsame Verschwinden eines Buchhalters mit dem Systemadministrator in die Karibik machen, während sie alle Dokumente und das Geld vom Geschäftskonto mitnehmen. Sie können den Zugriff mit einem Knopfdruck deaktivieren, indem Sie den Benutzer löschen.
Diese Methode ist auch aus folgendem Grund gut:
- Wenn der Buchhalter mit 1C-Produkten arbeitet, generiert 1C viele Dokumente in Word, Excel und Acrobat. Wenn der 1C-Client auf dem Computer des Buchhalters geöffnet ist, werden alle Dokumente auf seinem Laptop gespeichert. Bei der Arbeit auf einem VPS werden alle Daten in der virtuellen Maschine gespeichert.
- Die Datenbanken von 1C und die Dokumente gelangen überhaupt nicht auf den persönlichen Computer des Buchhalters (bei Nutzung von 1C: Fresh müssten die Dokumente heruntergeladen werden).
- Die Möglichkeit, den VPS über ein VPN in das Unternehmensnetzwerk einzubinden und dem Buchhalter sicheren Zugriff auf interne Ressourcen zu ermöglichen (bei Verwendung von 1C: Fresh müsste der persönliche Computer des Buchhalters in ein sicheres LAN eingebunden werden).
- Es ist möglich, eine sichere Integration von 1C: Unternehmen mit externen Systemen zu konfigurieren: EDI, persönliche Konten von Banken, staatliche Dienste usw. Bei Verwendung von 1C: Fresh müsste der Zugang zu vielen kritischen Diensten auf dem persönlichen Computer des Buchhalters eingerichtet werden.
Und natürlich der Preis. Die Miete für eine virtuelle Maschine mit einer 1C-Lizenz kostet ungefähr 1500 r. pro Monat, wenn man die königlichen Tarife von teuren Hosting-Anbietern wählt. Das ist kaum teurer als das Minimalpaket von 1C: Fresh und erheblich günstiger als andere Abonnements. Die Bezahlung kann monatlich erfolgen.
Die Lizenz kann bei jedem Franchise-Nehmer erworben werden, und der Preis hängt von der Konfiguration des Pakets an Produkten und Dienstleistungen ab. Nach Ablauf der Frist müssen Sie für den Support über das 1C: ITS-Portal nachzahlen, um Updates zu erhalten.
Wenn Sie bei uns mieten, bieten wir für solche Zwecke eine virtuelle Maschine mit vorinstalliertem 1C: Unternehmens-Client an (schreiben Sie uns einfach mit einer Beschreibung Ihrer Aufgabe). Die Miete für die virtuelle Maschine kostet etwa 800 r. pro Monat, und die Kosten für die Miete der 1C-Lizenz für einen Arbeitsplatz betragen weitere 700 r. Den Support bieten wir ohne zusätzliche Kosten an, wobei unsere Spezialisten 1C: Unternehmen aktualisieren, wenn man eine an den technischen Support schreibt.
Für den Buchhalter wird alles genau so aussehen – derselbe Arbeitsplatz, die gleichen Symbole, man kann sogar vertraute Hintergründe einstellen. Kommen wir nun zur Sache, wie man so eine Cloud erstellt und konfiguriert, deren Zugang man mit einem einzigen Knopfdruck ausschalten kann.
Bestellen Sie einen VPS mit integriertem 1C: Unternehmenssoftware
Für den Buchhalter ist das ideale Betriebssystem Windows. Was die Leistung des VPS angeht – aus unserer Erfahrung reicht es für eine komfortable Arbeit von ein bis zwei Mitarbeitern mit der Dateiserver-Version von 1C: Unternehmenssoftware, wenn die Konfiguration über zwei Rechenkerne, mindestens 4-5 GB RAM und ein schneller SSD mit 50 GB verfügt.
Wir automatisieren die Dienste nicht, solange wir nicht genau wissen, was die Kunden benötigen. Daher ist die Anbindung bisher nicht automatisiert und ein Server mit 1C muss über das Ticketsystem angefordert werden. Wir richten alles manuell für Sie ein.
Wenn Sie sich über RDP mit der erstellten virtuellen Maschine verbinden, sehen Sie ungefähr dieses Bild.
Übertragen der 1C-Datenbank
Der nächste Schritt besteht darin, die Datenbank aus der zuvor auf dem Buchhaltungscomputer installierten Version von 1C: Unternehmenssoftware zu exportieren.
Dann muss sie auf den virtuellen Server per FTP hochgeladen werden, über einen beliebigen Cloud-Speicher oder indem man einen lokalen Speicher über einen RDP-Client mit dem VPS verbindet.
Anschließend müssen Sie die Informationsdatenbank im Clientprogramm hinzufügen: wir zeigen, wie das geht, anhand von Screenshots.
Nach erfolgreicher Hinzufügung ist 1C: Unternehmenssoftware bereit für die Nutzung auf Ihrem eigenen VPS. Es bleibt nur noch, die Remote-Desktops für die Benutzer und die Integration mit verschiedenen externen Systemen wie Bank-Online-Services oder elektronischen Dokumentenmanagementdiensten einzurichten.
Remote-Desktops einrichten
Standardmäßig erlaubt Windows Server nicht mehr als zwei gleichzeitige RDP-Sitzungen zur Verwaltung des Systems. Sie für die Arbeit zu verwenden, ist technisch nicht schwierig (man muss lediglich einen unprivilegierten Benutzer zur entsprechenden Gruppe hinzufügen), aber das verstößt gegen die Bedingungen der Lizenzvereinbarung.
Um vollständige Remote-Desktop-Dienste (Remote Desktop Services oder RDS) bereitzustellen, müssen serverseitige Rollen und Komponenten hinzugefügt, der Lizenzserver aktiviert oder ein externer verwendet und separat erworbene Clientlizenzen (RDS CAL) installiert werden.
Hier können wir ebenfalls helfen: Bei uns können Sie RDS CAL kaufen, indem Sie einfach . Jetzt werden wir handeln: Wir installieren sie auf unserem Lizenzserver und konfigurieren die Remote-Desktop-Dienste.
Aber natürlich, wenn Sie alles selbst einrichten möchten, werden wir Ihnen nicht den Spaß verderben.
Nach der Konfiguration kann der Buchhalter mit 1C: Unternehmer auf dem virtuellen Server arbeiten, als wäre es ein lokales Gerät. Vergessen Sie nicht, auf dem VPS die Standard-Buchhaltungssoftware zu installieren: das Büropaket, einen Drittanbieter-Browser, Acrobat Reader.
Jetzt müssen wir uns um die Verbindung des 1C-Clients zu den persönlichen Bankkonten kümmern.
Integration mit Banken einrichten
In 1C: Unternehmer gibt es die Technologie DirectBank für den direkten Datenaustausch mit Banken, ohne zusätzliche Software installieren zu müssen. Diese ermöglicht es, Kontoauszüge herunterzuladen und Zahlungsdokumente zu versenden, ohne sie in Dateien zu exportieren, sofern die Bank diesen Kommunikationsstandard unterstützt (ansonsten muss man auf die alte Methode zurückgreifen und Textdateien im 1C-Format verwenden, aber das ist nicht schlimm - jetzt werden sie auf der virtuellen Maschine gespeichert).
Zuerst wird im Buchhaltungsprogramm ein Geschäftskonto erstellt (falls es noch nicht vorhanden ist), dann muss man dessen Formular in der Organisationskarte öffnen und den Befehl „1C: DirectBank anschließen“ auswählen. Die Austauschkonfigurationen können automatisch oder manuell in 1C: Unternehmer geladen werden: Für ausführliche Anleitungen sollte man die Website der Bank konsultieren. In einigen Fällen muss die Integration mit den 1C-Produkten separat im persönlichen Bereich aktiviert werden.
Für die Konfiguration können Login und Passwort des persönlichen Kontos der Firma bei der Bank erforderlich sein. Häufig wird dabei die Zwei-Faktor-Authentifizierung (2FA) per SMS verwendet.
Eine andere beliebte Option, ein gesicherter Hardware-Token, eignet sich aufgrund der Verwendung eines virtuellen Servers nicht. Darüber hinaus müsste das geschützte Medium aus dem Unternehmensbereich herausgenommen und an den remote arbeitenden Buchhalter übergeben werden, was den Verlust der Kontrolle über dieses Token bedeuten würde.
Die Variante mit Login/Passwort und 2FA über SMS kann ebenfalls unsicher sein, obwohl die Technologie DirectBank nur den Empfang von Abrechnungen und das Versenden von Zahlungsdokumenten ermöglicht. Um eine Zahlung durchzuführen, müssen diese mit einer qualifizierten elektronischen Signatur (QES) versehen werden, die auf einem geschützten physischen Medium des Kunden oder auf Seiten der Bank gespeichert ist. Im ersten Fall gibt es keine Probleme: Wenn der externe Buchhalter keinen Zugang zu dem Token hat, kann er nur die Dokumente erstellen.
Im Falle einer cloudbasierten digitalen Signatur wird die SMS mit dem einmaligen Code zur Bestätigung der Zahlung normalerweise an die gleiche Telefonnummer gesendet, die zur Authentifizierung im persönlichen Konto verwendet wird. Einige Banken haben dieses Problem selbst gelöst, indem sie es den Kunden erlaubt haben, Daten über DirectBank ohne 2FA auszutauschen. In diesem Fall kann der Buchhalter nur Abrechnungen herunterladen und Dokumente senden, hat jedoch keinen Zugang zu den Geldern oder sogar zu seinem persönlichen Konto.
Es gibt noch eine weitere Möglichkeit zur Trennung der Zugriffslevels: Viele Banken erlauben die Nutzung eines Kontos bei Госуслуги über das einheitliche Identifikations- und Authentifizierungssystem (). Der Leiter muss nur in die Einstellungen seines Kontos gehen, den Reiter „Organisationen“ auswählen und einen Mitarbeiter einladen. Wenn dieser die Einladung annimmt, kann im Bereich „Zugriffe zu den Systemen“ seine Bank gefunden werden (nach vorheriger Integration) und der Benutzer erhält Zugang zu seinem persönlichen Konto. Dabei ist es nicht notwendig, ihm das Telefon oder den Token zu übergeben, das zur Unterzeichnung der Zahlungsdokumente verwendet wird.
Anschluss an die EDO-Dienste
Die Dienste zum Austausch elektronischer Dokumente sind praktisch und die allgemeine Remote-Arbeit hat sie einfach unerlässlich gemacht. Der 1C:Unternehmen-Kunde integriert sich damit, aber für rechtlich relevante EDO ist die Nutzung einer qualifizierten elektronischen Signatur erforderlich.
Diese kann nur auf einen USB-Stick gespeichert oder in einem Cloud-Service mit den entsprechenden Zertifikaten der inländischen Regulierungsbehörden aufbewahrt werden.
Das Hochladen einer elektronischen Signatur auf ein beliebiges Speichermedium oder deren Speicherung auf einem VPS ist nicht möglich, daher arbeitet der Buchhalter normalerweise mit dem elektronischen Dokumentenverkehr von einem lokalen Computer aus, indem er einen USB-Stick anschließt. Auf diesem wird ein zertifiziertes Mittel zur kryptografischen Informationssicherheit (der sogenannte Kryptoprovider) sowie ein öffentlicher elektronischer Signaturzertifikat installiert. Der private Teil wird auf dem USB-Stick gespeichert, der physisch mit dem Computer verbunden werden muss, um Dokumente in unterstützenden Programmen zu signieren. Für die Arbeit mit EDO über eine Web-Oberfläche werden Browser-Plugins benötigt.
Um sicherzustellen, dass ein geschäftskritisches System nicht auf dem persönlichen Computer eines remote arbeitenden Spezialisten eingerichtet werden muss, ist auch ein VPS hilfreich, jedoch funktioniert hier die Option mit einem physischen Token nicht.
Es ist schwer zu sagen, wie sich der Kryptoprovider in einer virtuellen Umgebung verhalten wird, insbesondere beim Versuch, einen USB-Port auf dem VPS über einen RDP-Client weiterzuleiten. Es bleibt nur die Cloud-EZP ohne physisches Medium, aber nicht alle EDO-Dienste bieten eine solche Möglichkeit an. Diese kostet übrigens etwa eintausend Rubel pro Jahr, ohne die monatliche Gebühr für den Dokumentenaustauschdienst, die von den Volumina abhängt.
Die gute Nachricht ist, dass praktisch alle beliebten russischen Dienste bereits gegenseitigen Dokumenten-Roaming etabliert haben, sodass man sich mit jedem verbinden kann. Es gibt auch eine schlechte Nachricht: Es ist nicht möglich, vollständig auf Papier zu verzichten, da unter den Vertragspartnern sicherlich einige sein werden, die EDO nicht nutzen.
Zugriff auf die Dienste mit Zertifikaten einrichten
Viele Dienste ermöglichen die Authentifizierung und Autorisierung ohne Benutzername und Passwort unter Verwendung von Client-SSL-Zertifikaten, die ebenfalls auf dem VPS und nicht auf dem Computer des Buchhalters installiert werden können.
Genauso kann die Authentifizierung auf Unternehmens-Web-Ressourcen eingerichtet werden. So machen Sie es:
- Kaufen Sie eine vertrauenswürdige Zertifizierungsstelle, um damit Client-SSL-Zertifikate zu signieren und zu verifizieren;
- Erstellen Sie Client-SSL-Zertifikate, die von einem vertrauenswürdigen Zertifikat signiert sind;
- Richten Sie Webserver so ein, dass sie Client-SSL-Zertifikate anfordern und verifizieren;
- Installieren Sie die Client-Zertifikate für Benutzer von Remote-Desktops auf dem VPS.
Das Thema der Implementierung von 1C: Unternehmenssoftware für kleine Unternehmen auf virtuellen Servern ist umfangreich. Wir haben nur eine Methode beschrieben, die für die Sicherheit der Buchhaltung geeignet ist.
VPS kann manchmal gute Dienste leisten und vermeiden, dass kritische IT-Lösungen installiert werden oder private Unternehmensdaten auf den persönlichen Computer eines Remote-Spezialisten übertragen werden.
Wir hoffen, dass der Artikel für Sie nützlich war.
Quelle: habr.com
