Come vengono attualmente gestiti i conti nelle aziende? Di solito si tratta di un pacchetto 1C installato su un computer locale del commercialista, nel quale opera un commercialista assunto oppure un professionista outsourcing. L'outsourcer può gestire contemporaneamente diverse aziende clienti, a volte anche concorrenti.
Con questo approccio, gli accessi ai conti correnti, ai fondi di protezione crittografica, al documento elettronico e ad altri servizi importanti sono impostati direttamente sul computer del commercialista.
Cosa significa questo? Significa che tutto è nelle mani del commercialista e se decide di tradire il proprietario dell'azienda, lo farà in un attimo.
film «RocknRolla» (2008)
In questo articolo spiegheremo come chiudere in modo sicuro tutti i servizi, incluso 1C in un unico cloud, in modo da avere la possibilità di disattivare tutti i servizi con un solo pulsante, anche se il commercialista è volato su un fantastico Bali.
Cosa può succedere in generale? Due casi reali
Sysadmin di Wall Street
La moglie del nostro co-fondatore è un'esperta contabile e il mese scorso ha ricevuto assistenza da una grande catena di ristoranti a Mosca. Il ristorante ha tenuto tutti i database sul proprio server, gestito da un sysadmin permanente del team del ristorante.
Proprio mentre lavorava il commercialista, il sysadmin è andato in un casinò online e ha contratto un virus che ha distrutto l'intero database. Su chi è ricaduta la colpa? Giusto, sul commercialista appena arrivato.
La protagonista è stata molto fortunata che suo marito è un partner manager di un hosting e ha familiarità con queste cose. Dopo lunghe discussioni al telefono (il nostro collega era già pronto a partire e a sistemare le cose con l'amministratore), sono state trovate prove e il colpevole punito. Ma il database era andato perso, quindi non è stato un lieto fine per il sysadmin.
Laptop bloccato in un appartamento estraneo
Questa è una storia vecchia di altri nostri conoscenti.
Una donna esperta di 64 anni gestiva correttamente la contabilità di un negozio online di gadget cinesi tramite 1C. Il cliente e il database erano ospitati su un laptop fornito dal lavoro. Era comodo: facile stampare da stampanti d'ufficio, il database era piccolo e si adattava a un netbook, si poteva portare con sé in campagna o a casa.
Poi è accaduta una tragedia: venerdì sera l'hanno portata in ospedale con un ictus. Il netbook è rimasto a casa, poiché la contabile era responsabile e ha preso il lavoro per il fine settimana.
Il laptop, ovviamente, è stato recuperato, la contabile si è ripresa, ma se trasferiamo questa situazione ai giorni attuali e sostituiamo l'ictus con il coronavirus, l'operazione di recupero del computer da un appartamento chiuso assume dimensioni completamente diverse.
Possono due gatti e un labrador aprirti la porta? Anche se la vicina innaffia i fiori e nutre i gatti, ti restituirà il computer?
Ma passiamo a 1C nel cloud: quali sono le opzioni di distribuzione e lavoro nel cloud.
Quali opzioni ci sono per lavorare con 1C nel cloud?
Opzione 1. Client + server applicativo aziendale + database
Adatto per grandi aziende, dove sono necessarie le prestazioni di un'intera squadra di contabili. Questa è un'opzione piuttosto costosa (richiede molte licenze aggiuntive), non la considereremo poiché l'articolo riguarda la configurazione del lavoro di un contabile per una piccola impresa.
Opzione 2. 1C: Fresh
1C: Fresh è un modo piuttosto comodo per lavorare con 1C tramite il browser. Non serve alcuna configurazione: affittando tale licenza, l'azienda franchising si occuperà di tutto, ti forniranno un nome utente e una password.
Ma ci sono due svantaggi:
✗ Prezzo elevato: la tariffa base per una sola applicazione richiede il pagamento anticipato di almeno 6 mesi per due postazioni di lavoro - 6808 r.
✗ Non puoi configurare il VPS server, su cui operano molte aziende contemporaneamente. Ti viene fornita solo la chiave della tua stanza in un ostello, secondo il principio dell'hosting condiviso.
Nel fresco c'è anche la configurazione 1C: Business Start, la cui sottoscrizione in promozione costa 400 r. al mese. Le funzionalità di questa configurazione sono notevolmente limitate; senza promozione, la sottoscrizione costerà 1000 r. e deve essere pagata per almeno sei mesi.
Opzione 3: il tuo VPS personale, su cui è installato il client 1C e il database
Questa opzione è adatta per piccole aziende, dove lavorano 1-2 contabili — possono lavorare comodamente anche senza installare il server applicativo 1C: Enterprise e il server SQL.
Il grande vantaggio di questo approccio è che il VPS noleggiato può fungere da computer di lavoro completo per il contabile con connessione RDP.
Quando tutte le basi, i documenti e gli accessi sono conservati su un VPS controllato da voi, non c'è motivo di temere né i laptop bloccati in appartamento, né la fuga del commercialista con l'amministratore di sistema verso isole lontane, portando con sé tutti i documenti e il denaro dal conto corrente. Potete disattivare l'accesso con un clic, eliminando l'utente.
Questo metodo è utile anche per un'altra ragione:
- Quando il commercialista lavora nei prodotti 1C, 1C genera molti documenti Word, Excel, Acrobat. Quando il client 1C è attivo sul computer del commercialista, tutti i documenti vengono salvati sul suo laptop. Lavorando su un VPS, tutto viene salvato sulla macchina virtuale.
- Le basi 1C e i documenti non arrivano mai sul computer personale del commercialista (se si utilizza 1C: Fresh, i documenti dovrebbero essere scaricati).
- C'è la possibilità di collegare il VPS alla rete aziendale tramite VPN e di fornire al commercialista un accesso sicuro alle risorse interne (con 1C: Fresh, il computer personale del commercialista dovrebbe essere connesso a una LAN protetta per fare ciò).
- Si può impostare un'integrazione sicura tra 1C: Imprese e sistemi esterni: EDI, aree personali delle banche, servizi statali, ecc. Se si utilizza 1C: Fresh, l'accesso a molti servizi critici dovrebbe essere configurato sul computer personale del commercialista.
E naturalmente, c'è anche il prezzo. L'affitto di una macchina virtuale con licenza 1C costa circa 1500 rubli al mese, se si scelgono le tariffe elevate dei costosi provider di hosting. Questo è solo leggermente più costoso del pacchetto base minimo di servizi 1C: Fresh e notevolmente più economico rispetto ad altri abbonamenti. Si può pagare mensilmente.
È possibile acquistare la licenza da qualsiasi franchising, e il prezzo dipende dalla configurazione del pacchetto di prodotti e servizi; dopo la scadenza, si dovrà pagare per il supporto tramite il portale 1C: ITS, per ricevere gli aggiornamenti.
Se acquisti da noi, offriamo per tali scopi una macchina virtuale con client 1C: Imprese preinstallato (basta scriverci al supporto con la descrizione della tua esigenza). L'affitto della macchina virtuale costa circa 800 rubli al mese, e il costo dell'affitto della licenza 1C per un posto di lavoro sarà di ulteriori 700 rubli. Offriamo supporto senza costi aggiuntivi, e i nostri specialisti aggiornano 1C: Imprese se scrivi al supporto tecnico.
Per il commercialista, tutto apparirà esattamente come prima: la scrivania familiare, le icone, si possono persino appendere wallpaper familiari. Ma ora veniamo al sodo, come creare e configurare un cloud che può essere disattivato con un solo clic.
Ordiniamo un VPS con 1C: Enterprise integrato
Per il commercialista, il sistema operativo ideale è Windows. Per quanto riguarda la potenza del VPS, dalla nostra esperienza, per un lavoro confortevole di uno o due dipendenti con la versione file server di 1C: Enterprise, è sufficiente una configurazione con due core di elaborazione, almeno 4-5 GB di RAM e un SSD veloce da 50 GB.
Non automatizziamo i servizi finché non ci assicuriamo esattamente di cosa hanno bisogno i clienti, quindi attualmente la sua attivazione non è automatizzata e per ordinare un server con 1C è necessario passare attraverso il sistema di ticket. Configureremo tutto manualmente per voi.
Quando vi connettete alla macchina virtuale creata tramite RDP, può apparire un'immagine simile.
Trasferimento del database 1C
Il passo successivo è esportare il database dalla versione di 1C: Enterprise precedentemente installata sul computer del commercialista.
Dopo, deve essere caricato sul server virtuale tramite FTP, tramite qualsiasi servizio cloud o collegando un'unità locale al VPS tramite il client RDP.
Successivamente, è necessario aggiungere il database informativo nel programma cliente: mostriamo come farlo negli screenshot.
Dopo aver aggiunto con successo il database, 1C: Enterprise è pronto per funzionare sul vostro VPS. Resta da configurare le workstation remote per gli utenti e l'integrazione con vari sistemi esterni come i portali bancari o i servizi di gestione documentale elettronica.
Configurazione delle workstation remote
Di default, Windows Server consente al massimo due sessioni RDP simultanee per l'amministrazione del sistema. Utilizzarle per il lavoro non è tecnicamente difficile (basta aggiungere un utente non privilegiato al gruppo corrispondente), ma ciò viola i termini del contratto di licenza.
Per distribuire i servizi di desktop remoto completi (Remote Desktop Services o RDS), è necessario aggiungere ruoli e componenti del server, attivare il server di licenze o utilizzare uno esterno, e installare le licenze client acquistate separatamente (RDS CAL).
Qui possiamo aiutarti anche: puoi acquistare RDS CAL da noi, semplicemente scrivendo . Procederemo noi: installeremo i criteri sul nostro server di licenza e configureremo i servizi desktop remoto.
Ma, naturalmente, se desiderate configurare tutto da soli, non vi priveremo di questo piacere.
Dopo aver configurato RDS, il commercialista può iniziare a lavorare con 1C: Enterprise nel server virtuale come se fosse sulla macchina locale. Non dimenticate di installare sul VPS il software di contabilità standard: pacchetto per ufficio, browser di terze parti, Adobe Acrobat Reader.
Adesso rimane da occuparsi della connessione del client 1C ai portali bancari.
Configurazione dell'integrazione con le banche
In 1C: Enterprise c'è la tecnologia DirectBank per lo scambio diretto di dati con le banche, senza installare software aggiuntivo. Permette di scaricare estratti conto e inviare documenti di pagamento senza esportarli in file, se la banca supporta questo standard di interazione (altrimenti bisognerà utilizzare i file di testo in formato 1C, ma non è un problema — ora vengono salvati sulla macchina virtuale).
Per iniziare, nel programma di contabilità viene creato un conto corrente (se non è già stato creato), poi bisogna aprire la sua forma nella scheda dell'organizzazione e scegliere il comando «Collegare 1C: DirectBank». Le impostazioni di scambio possono essere caricate in 1C: Enterprise automaticamente o manualmente: per istruzioni dettagliate è consigliabile consultare il sito web della banca. In alcuni casi, l'integrazione con i prodotti 1C deve essere attivata separatamente nel proprio profilo.
Per la configurazione potrebbe essere necessario il login e la password al profilo aziendale presso la banca. Nella maggior parte dei casi viene utilizzata l'autenticazione a due fattori (2FA) tramite SMS.
Un'altra opzione popolare, il token hardware protetto, non è adatta a causa dell'uso di un server virtuale. Inoltre, sarebbe stato necessario portare il dispositivo protetto all'esterno dell'azienda e consegnarlo al commercialista che lavora da remoto, perdendo il controllo su di esso.
L'opzione con login/password e 2FA tramite SMS può essere comunque insicura, sebbene la tecnologia DirectBank consenta solo di ricevere estratti conto e inviare documenti di pagamento. Per effettuare un pagamento, è necessario firmarli con una firma elettronica qualificata (FEQ), che deve essere conservata su un dispositivo fisico sicuro del cliente o presso la banca. Nel primo caso non ci sono problemi: se il contabile esterno non ha accesso al token, potrà solo generare documenti.
Nel caso di una firma digitale cloud, l'SMS con un codice monouso per confermare il pagamento viene generalmente inviato allo stesso numero di telefono utilizzato per l'autenticazione nell'area riservata. Alcune banche hanno risolto questo problema consentendo ai clienti di scambiare informazioni tramite DirectBank senza 2FA. In questo caso, il contabile potrà solo scaricare estratti conto e inviare documenti, ma non avrà accesso ai soldi o anche all'area personale.
C'è un'altra opzione per separare i livelli di accesso: molte banche consentono di utilizzare l'account sui servizi pubblici tramite il sistema unico di identificazione e autenticazione (). Il responsabile deve semplicemente accedere alle impostazioni del proprio account, selezionare la scheda "Organizzazioni" e invitare un dipendente. Quando questi accetta l'invito, nel reparto "Accessi ai sistemi" sarà possibile trovare la propria banca (previa configurazione dell'integrazione con essa) e concedere all'utente l'accesso all'area personale. Non è necessario fornirgli il telefono o il token utilizzati per firmare i documenti di pagamento.
Collegamento ai servizi EDI
I servizi per lo scambio di documenti elettronici sono comodi e il lavoro da remoto ha reso la loro utilizzo necessario. Il cliente 1C: Enterprise si integra con essi, ma l'EDI legalmente significativo richiede l'uso di una firma elettronica qualificata.
Essa può essere registrata solo su una chiavetta USB o conservata in un servizio cloud nazionale con i certificati appropriati degli enti regolatori locali.
Non è possibile caricare una firma elettronica su qualsiasi supporto o archiviarla su un VPS, quindi di solito il contabile lavora con la gestione dei documenti elettronici dal computer locale, collegando una chiavetta USB. Viene installato un mezzo certificato di protezione crittografica delle informazioni (il cosiddetto crittografo) e un certificato pubblico della firma elettronica. La parte privata è memorizzata sulla chiavetta, che deve essere fisicamente collegata al computer per firmare i documenti nei programmi che supportano questa funzione. Per lavorare con l'EDE attraverso l'interfaccia web sono necessari plugin per i browser.
Per evitare che un sistema critico per l'azienda debba essere implementato sul computer personale di un professionista che lavora da remoto, è utile avere un VPS, tuttavia, l'opzione con un token fisico qui non è valida.
È difficile dire come si comporterà il crittografo in un ambiente virtuale, tanto più quando si tenta di inoltrare una porta USB su un VPS tramite client RDP. Rimane la firma elettronica in cloud senza supporto fisico, ma non tutti i servizi di EDE offrono tale servizio. Tra l'altro, costa circa mille rubli all'anno, escluse le spese mensili per il servizio stesso di scambio documenti, che dipende dai volumi.
La buona notizia è che praticamente tutti i principali servizi russi hanno già stabilito il roaming reciproco dei documenti, quindi ci si può connettere a qualsiasi servizio. C'è anche una cattiva notizia: non sarà possibile eliminare completamente la carta, poiché tra i partner ci saranno sicuramente quelli che non utilizzano l'EDE.
Configuriamo l'accesso ai servizi utilizzando certificati
Molti servizi consentono di effettuare autenticazione e autorizzazione senza nome utente e password utilizzando certificati SSL client, che possono essere installati anche su un VPS e non sul computer del contabile.
Allo stesso modo, è possibile configurare l'autenticazione sulle risorse web aziendali. Ecco come fare:
- Acquistare un'autorità di certificazione fidata per firmare e verificare i certificati SSL dei client;
- Creare certificati SSL client firmati da un certificato fidato;
- Configurare i server web per richiedere e verificare i certificati SSL client;
- Installare i certificati client per gli utenti dei desktop remoti sul VPS.
Il tema della distribuzione di 1C:Enterprise per le piccole imprese sui server virtuali è ampio; abbiamo descritto solo un modo, adatto per garantire la sicurezza della contabilità.
Il VPS può a volte essere molto utile, evitando l'installazione di soluzioni IT critiche e la trasmissione di dati aziendali riservati su un computer personale di un esperto in remoto.
Speriamo che l'articolo sia stato utile.
Fonte: habr.com
