כיצד למנוע מרואה חשבון לרמות אותך או להעביר את 1C לענן. הדרכה שלב אחר שלב

איך חברות שומרות רישומים עכשיו? לרוב מדובר בחבילת 1C המותקנת במחשב המקומי של רואה החשבון, בה עובד רואה חשבון במשרה מלאה או מומחה במיקור חוץ. מיקור חוץ יכול לנהל בו זמנית כמה חברות לקוחות כאלה, לפעמים אפילו מתחרות.

עם גישה זו, גישה לחשבונות עו"ש, כלי הגנה קריפטו, ניהול מסמכים אלקטרוניים ושירותים חשובים אחרים מוגדרים ישירות במחשב של רואה החשבון.

מה זה אומר? שהכל בידיו של רואה החשבון ואם יחליט להפליל את בעל העסק אז הוא יעשה זאת פעם או פעמיים.

הסרט "RocknRolla" (2008)

במאמר זה נספר לכם כיצד לנעול בצורה מאובטחת את כל השירותים, כולל 1C, בענן אחד, כך שתוכלו להשבית את כל השירותים בלחצן אחד, גם אם רואה החשבון טס לבאלי המופלאה.

מה יכול לקרות? שני מקרים אמיתיים

מנהל מערכת בוול סטריט

אשתו של המייסדים שלנו היא רואת חשבון מנוסה, ובחודש שעבר פנתה אליה רשת מסעדות גדולה במוסקבה לעזרה. המסעדה שמרה את כל מאגרי המידע בשרת שלה, אשר נוהלו על ידי מנהל מערכת קבוע מצוות המסעדה.

ממש בזמן שרואה החשבון עבד, מנהל המערכת הלך לקזינו מקוון וקלט וירוס שהרס את כל מסד הנתונים. את מי הם האשימו הכל? נכון, רואה החשבון שזה עתה הגיע.

לגיבורה יש מזל גדול שבעלה הוא השותף המנהל של האירוח ומבינה דברים כאלה. לאחר ויכוחים רבים בטלפון (עמיתנו כבר היה מוכן לצאת ולנקות את פניו של המנהל בעצמו), נמצאו ראיות והפושע נענש. אבל מסד הנתונים אבד, כלומר, לא היה סוף טוב למנהל המערכת.

מחשב נייד תקוע בדירה של מישהו אחר

זהו סיפור ישן מאנשים אחרים שאנו מכירים.

אישה מנוסה בת 64 שמרה באופן קבוע רישומי חשבונות עבור חנות מקוונת של גאדג'טים סיניים באמצעות 1C. הלקוח ומאגר הנתונים נשמרו על מחשב נייד שניתן לה בעבודה. זה היה נוח: קל להדפיס ממדפסות משרדיות, הבסיס קטן ומתאים לנטבוק, אתה יכול לקחת אותו איתך לארץ או הביתה.

ואז התרחשה טרגדיה: ביום שישי בערב היא נלקחה משם באמבולנס עם שבץ מוחי. הנטבוק נשאר בבית כי רואה החשבון היה אחראי ולקח עבודה בסוף השבוע.

המחשב הנייד כמובן חולץ, רואה החשבון התאושש, אבל אם נעביר את המצב הזה לימים הנוכחיים ונחליף את השבץ בקורונה, אז הפעולה של חילוץ מחשב מדירה סגורה מקבלת פרופורציות אחרות לגמרי.

האם שני חתולים ולברדור יכולים לפתוח לך את הדלת? גם אם השכנה שלך תשקה את הפרחים ותאכיל את החתולים, היא תיתן לך את המחשב?

אבל בואו נעבור ל-1C בענן – מהן האפשרויות לפריסה ותפעול בענן.

מהן האפשרויות הכלליות לעבודה עם 1C בענן?

אפשרות 1. לקוח + שרת יישומים ארגוני + מסד נתונים

מתאים לחברות גדולות הדורשות שירות של צוות שלם של רואי חשבון. זוהי אפשרות יקרה למדי (נדרשים רישיונות נוספים רבים), לא נשקול אותה, כי המאמר עוסק בהקמת עבודת רואה חשבון עבור חברה קטנה.

אפשרות 2. 1C: טרי

1C: Fresh היא דרך נוחה למדי לעבוד ב-1C דרך דפדפן. אין צורך בהגדרות: בהשכרת רישיון כזה, החברה הזכיינית תגדיר הכל בעצמה, ותינתן לך כניסה וסיסמה.

אבל יש שני חסרונות:

✗ מחיר גבוה: התעריף הבסיסי עבור בקשה אחת מחייב תשלום למשך 6 חודשים בבת אחת עבור לפחות שתי עבודות - 6808 RUR
✗ לא ניתן להגדיר שרת VPS בעצמו, עליו פועלות חברות רבות בבת אחת. ניתן לכם מפתח רק לחדר המעונות שלכם, על בסיס העיקרון של אירוח משותף.

לטרי יש גם את תצורת 1C: BusinessStart, מנוי אליו עולה 400 רובל כקידום. לחודש. אפשרויות התצורה מוגבלות באופן משמעותי; ללא קידום, מנוי יעלה 1000 רובל, ואתה גם צריך לשלם עבורו לפחות שישה חודשים.

אפשרות 3: VPS משלך, עליו מותקנים לקוח 1C ומסד הנתונים

אפשרות זו מתאימה לחברות קטנות עם 1-2 רואי חשבון - הן יכולות לעבוד די בנוחות מבלי להתקין את 1C: Enterprise Application Server ו-SQL server.

היופי העיקרי בגישה זו הוא ש-VPS שכור יכול לשמש כמחשב עבודה מן המניין עבור רואה חשבון עם חיבור RDP.

כאשר כל מסדי הנתונים, המסמכים והגישה מאוחסנים ב-VPS בשליטתך, אינך צריך לדאוג למחשבים ניידים הנעולים בדירה שלך או שרואה החשבון ומנהל המערכת יברחו יחד לאיים, ויקחו את כל המסמכים והכסף מהשוטף. חֶשְׁבּוֹן. אתה יכול להשבית את הגישה באמצעות כפתור אחד על ידי מחיקת המשתמש.

שיטה זו גם טובה והנה הסיבה:

1. כאשר רואה חשבון עובד במוצרי 1C, 1C מייצר הרבה מסמכי Word, Excel, Acrobat. כאשר לקוח 1C מופעל במחשב של רואה החשבון, כל המסמכים נשמרים במחשב הנייד שלו. כשעובדים על VPS, הכל נשמר במכונה הוירטואלית.
2. מסדי נתונים ומסמכים של 1C אינם מגיעים למחשב האישי של רואה החשבון כלל (אם משתמשים ב-1C: Fresh, יש להוריד מסמכים).
3. היכולת לחבר VPS לרשת הארגונית באמצעות VPN ולספק לרואה החשבון גישה מאובטחת למשאבים פנימיים (אם משתמשים ב-1C: Fresh, המחשב האישי של רואה החשבון יצטרך להיות מחובר לרשת LAN מאובטחת לשם כך).
4. ניתן להגדיר אינטגרציה מאובטחת של 1C: Enterprise עם מערכות חיצוניות: זרימת מסמכים אלקטרונית, חשבונות אישיים של בנקים, שירותים ממשלתיים וכו'. אם אתה משתמש ב-1C: Fresh, גישה לשירותים קריטיים רבים תצטרך להיות מוגדרת במחשב האישי של רואה החשבון.

והמחיר כמובן. השכרת מכונה וירטואלית עם רישיון 1C תעלה בערך 1500 רובל. לחודש, אם אתה לוקח תעריפים מלכותיים מספקי אירוח יקרים. זה לא הרבה יותר יקר מחבילת השירותים הבסיסית המינימלית 1C: טרי וזול משמעותית ממנויים אחרים. ניתן לשלם מדי חודש.

ניתן לרכוש רישיון מכל זכיין, והמחיר תלוי בתצורת חבילת המוצרים והשירותים ולאחר תום התקופה תצטרכו לשלם תוספת עבור תמיכה דרך פורטל 1C: ITS לעדכונים.

אם אתה לוקח VPS איתנו, למטרות כאלה אנו מציעים מכונה וירטואלית עם לקוח 1C: Enterprise מותקן מראש (פשוט כתוב לנו לתמיכה עם תיאור המשימה שלך). השכרת מכונה וירטואלית עולה בערך 800 רובל. לחודש, ועלות השכרת רישיון 1C עבור מקום עבודה אחד תהיה עוד 700 רובל. אנו מספקים תמיכה ללא עלות נוספת, בעוד ש-1C: Enterprise מתעדכן על ידי המומחים שלנו אם אתה כותב כַּרְטִיס לתמיכה טכנית.

עבור רואה חשבון, הכל ייראה בדיוק אותו הדבר - שולחן עבודה מוכר, אייקונים, אפשר אפילו לתלות טפטים מוכרים. ועכשיו לנקודה, כיצד ליצור ולהגדיר ענן כזה, שניתן לבטל את הגישה אליו בלחצן אחד.

אנו מזמינים VPS עם 1C מובנה: Enterprise

עבור רואה חשבון, מערכת ההפעלה האידיאלית היא Windows. לגבי העוצמה של VPS - מניסיוננו, לעבודה נוחה של עובד אחד או שניים עם גרסת שרת הקבצים של 1C: Enterprise, תצורה עם שתי ליבות מחשוב, לפחות 4-5 GB RAM ו- SSD מהיר של 50 GB זה מספיק.

אנחנו לא עושים שירותים אוטומטיים עד שאנחנו בטוחים בדיוק מה הלקוחות צריכים, אז החיבור שלו עדיין לא אוטומטי ויש להזמין שרת מ-1C דרך מערכת הכרטיסים. אנחנו נגדיר הכל עבורך באופן ידני.

כאשר אתה מתחבר למכונה הוירטואלית שנוצרה באמצעות RDP, תראה משהו כזה.

העברת מסד הנתונים של 1C

השלב הבא הוא הורדת מסד הנתונים מגרסת 1C: Enterprise שהותקנה בעבר במחשב הנהלת החשבונות.

לאחר מכן עליך להעלות אותו לשרת וירטואלי באמצעות FTP, דרך כל אחסון בענן, או על ידי חיבור כונן מקומי ל-VPS באמצעות לקוח RDP.

לאחר מכן, עליך להוסיף בסיס מידע בתוכנית הלקוח: אנו מראים כיצד לעשות זאת בצילומי המסך.

לאחר הוספת בהצלחה את מסד הנתונים 1C: Enterprise, אתה מוכן לעבוד על VPS משלך. כל שנותר הוא להגדיר למשתמשים שולחנות עבודה מרוחקים ואינטגרציה עם מערכות חיצוניות שונות כמו חשבונות בנק אישיים או שירותי ניהול מסמכים אלקטרוניים.

הגדרת שולחנות עבודה מרוחקים

כברירת מחדל, Windows Server מאפשר לכל היותר שני הפעלות RDP בו-זמנית לניהול מערכת. השימוש בהם לעבודה אינו קשה מבחינה טכנית (מספיק להוסיף משתמש חסר זכויות לקבוצה המתאימה), אך זוהי הפרה של תנאי הסכם הרישיון.

כדי לפרוס שירותי שולחן עבודה מרוחק מלא (RDS), עליך להוסיף תפקידים ותכונות שרת, להפעיל שרת רישוי או להשתמש בשרת חיצוני, ולהתקין רישיונות גישה ללקוח (RDS CAL) שנרכשו בנפרד.

אנחנו יכולים לעזור גם כאן: אתה יכול לקנות מאיתנו RDS CAL על ידי כתיבה פשוטה בקשת תמיכה. נמשיך הלאה: התקן אותם בשרת הרישוי שלנו ותגדיר שירותי שולחן עבודה מרוחק.

אבל כמובן, אם תרצו להגדיר דברים בעצמכם, אנחנו לא נהרוס לכם את הכיף.

לאחר הגדרת RDS, רואה החשבון יכול להתחיל לעבוד עם 1C: Enterprise על שרת וירטואלי כמו על מחשב מקומי. אל תשכח להתקין תוכנת הנהלת חשבונות רגילה ב-VPS: חבילת משרד, דפדפן צד שלישי, Acrobat Reader.

כעת כל שנותר הוא לדאוג לחיבור לקוח 1C לחשבונות בנק אישיים.

הקמת אינטגרציה עם בנקים

1C: לארגון יש טכנולוגיית DirectBank להחלפת נתונים ישירה עם בנקים, ללא התקנת תוכנה נוספת. היא מאפשרת להוריד דפי חשבון ולשלוח מסמכי תשלום מבלי להעלות אותם לקבצים, אם הבנק תומך בסטנדרט אינטראקציה כזה (אחרת תצטרכו להסתפק בקבצי טקסט בפורמט 1C בצורה הישנה, ​​אבל זה בסדר - עכשיו הם נשמרים במכונה וירטואלית).

ראשית, חשבון עו"ש נוצר בתוכנית הנהלת החשבונות (אם הוא עדיין לא נוצר), ולאחר מכן עליך לפתוח את הטופס שלו בכרטיס הארגון ולבחור בפקודה "התחבר 1C: DirectBank". ניתן לטעון את הגדרות Exchange לתוך 1C: Enterprise באופן אוטומטי או ידני: להנחיות מפורטות עליך לפנות לאתר הבנק. במקרים מסוימים, יש לאפשר אינטגרציה עם מוצרי 1C בנפרד בחשבון האישי שלך.

כדי להגדיר, ייתכן שתזדקק לכניסה וסיסמה לחשבון האישי של החברה בבנק. השיטה הנפוצה ביותר בשימוש היא אימות דו-גורמי (2FA) באמצעות SMS.

אפשרות פופולרית נוספת, אסימון חומרה מאובטח, לא מתאימה לנו עקב שימוש בשרת וירטואלי. בנוסף, יהיה צורך להוציא את המדיה המוגנת משטח החברה ולהעביר לרואה חשבון שעובד מרחוק, ומאבד את השליטה עליה.

האפשרות עם כניסה/סיסמה ו-2FA באמצעות SMS עלולה להיות גם לא בטוחה, אם כי טכנולוגיית DirectBank מאפשרת לקבל רק הצהרות ולשלוח מסמכי תשלום. על מנת לבצע תשלום, הם יצטרכו לקבל אישור בחתימה דיגיטלית אלקטרונית, המאוחסנת על מדיום פיזי מאובטח של הלקוח או בצד הבנק. במקרה הראשון, אין בעיות: אם לרואה החשבון החיצוני אין גישה לטוקן, הוא יוכל להפיק מסמכים בלבד.

במקרה של חתימה דיגיטלית בענן, הודעת SMS עם קוד חד פעמי לאישור התשלום נשלחת בדרך כלל לאותו מספר טלפון המשמש לאימות בחשבון האישי שלך. כמה בנקים עצמם פתרו את הבעיה הזו על ידי כך שאפשרו ללקוחות להחליף נתונים דרך DirectBank ללא 2FA. במקרה זה, רואה החשבון יוכל להוריד רק דפי חשבון ולשלוח מסמכים, אך לא יקבל גישה לכסף ואף לא לחשבון האישי שלו.

ישנה אפשרות נוספת להפרדת רמות הגישה: בנקים רבים מאפשרים לך להשתמש בחשבון בשירותי המדינה באמצעות מערכת זיהוי ואימות אחידה (ESIA). המנהל רק צריך לעבור להגדרות החשבון שלו, לבחור בלשונית "ארגונים" ולהזמין עובד. כשהוא יקבל את ההזמנה, בסעיף "גישה למערכות" תוכל למצוא את הבנק שלך (לאחר הגדרת אינטגרציה איתו) ולתת למשתמש גישה לחשבון האישי שלך. במקרה זה, אין צורך להעביר אליו את מספר הטלפון או האסימון המשמש לחתימה על מסמכי תשלום.

התחברות לשירותי EDF

שירותים להחלפת מסמכים אלקטרוניים נוחים, ועבודה מרחוק אוניברסלית הפכה אותם לפשוט נחוצים. לקוח 1C: Enterprise משתלב איתם, אך EDI משמעותי מבחינה משפטית דורש שימוש בחתימה אלקטרונית מוסמכת.

ניתן להקליט אותו רק בכונן הבזק או לאחסן אותו בשירות ענן שיש לו את האישורים המתאימות מהרגולטורים המקומיים.

אי אפשר להעלות חתימה אלקטרונית לכל מדיום או לאחסן אותה ב-VPS, ולכן לרוב רואה חשבון עובד עם ניהול מסמכים אלקטרוני ממחשב מקומי על ידי הכנסת כונן הבזק. מותקנים בו כלי הגנה על מידע קריפטוגרפי מוסמך (מה שנקרא cryptoprovider) ותעודת חתימה אלקטרונית ציבורית. החלק הסגור שלו מאוחסן על כונן הבזק, אשר חייב להיות מחובר פיזית למחשב על מנת לחתום על מסמכים בתוכנות התומכות בפונקציה זו. כדי לעבוד עם EDI דרך ממשק האינטרנט, תזדקק לתוספי דפדפן.

כדי שלא תצטרך לפרוס מערכת קריטית לעסק במחשב האישי של מומחה שעובד מרחוק, גם VPS שימושי, אולם האפשרות עם אסימון פיזי לא תעבוד כאן.

קשה לומר כיצד יתנהג ספק קריפטו בסביבה וירטואלית, במיוחד כאשר הוא מנסה להעביר יציאת USB ל-VPS דרך לקוח RDP. מה שנותר הוא חתימה דיגיטלית בענן ללא מדיום פיזי, אך לא כל שירותי זרימת מסמכים אלקטרוניים מציעים שירות כזה. אגב, זה עולה כאלף רובל בשנה, לא סופר את דמי המנוי לשירות החלפת המסמכים עצמו, שתלוי בנפח.

החדשות הטובות הן שכמעט כל השירותים הרוסיים הפופולריים כבר מזמן הקימו נדידה הדדית של מסמכים, כך שתוכל להתחבר לכל אחד. יש גם חדשות רעות: לא ניתן יהיה להיפטר לחלוטין מנייר, שכן בין הצדדים הנגדיים יהיו בוודאי כאלה שלא ישתמשו ב-EDI.

הגדרת גישה לשירותים באמצעות אישורים

שירותים רבים מאפשרים אימות והרשאה ללא כניסה וסיסמה באמצעות תעודות לקוח SSL, שניתן להתקין גם ב-VPS, ולא במחשב של רואה החשבון.

אתה יכול להגדיר אימות במשאבי אינטרנט ארגוניים באותו אופן. איך לעשות את זה:

• קנה רשות אישורים מהימנה כדי להשתמש בה כדי לחתום ולאמת אישורי SSL של לקוח;
• צור אישורי SSL של לקוח חתומים באישור מהימן;
• הגדר שרתי אינטרנט כדי לבקש ולאמת אישורי SSL של לקוח;
• התקן אישורי לקוח עבור משתמשי שולחן עבודה מרוחק ב-VPS.

הנושא של פריסת 1C: ארגונים לעסקים קטנים על שרתים וירטואליים הוא רחב, תיארנו רק שיטה אחת המתאימה להבטחת אבטחת הנהלת החשבונות.

VPS יכול לפעמים לשרת היטב ולהימנע מהתקנת פתרונות IT קריטיים והעברת נתונים ארגוניים פרטיים למחשב האישי של מומחה מרחוק.

אנו מקווים שהמאמר היה שימושי עבורך.

מקור: www.habr.com