Jak obecnie w firmach prowadzi się księgowość? Zazwyczaj to zainstalowany na lokalnym komputerze księgowego pakiet 1C, w którym pracuje etatowy księgowy lub osoba zewnętrzna. Outsourcer może obsługiwać jednocześnie kilka takich firm-klientów, czasem nawet konkurencyjnych.
Przy takim podejściu dostęp do rachunków bankowych, środków kryptoprotekcji, elektronicznego obiegu dokumentów i innych ważnych usług jest skonfigurowany bezpośrednio na komputerze księgowego.
Co to oznacza? Że wszystko jest w rękach księgowego i jeśli postanowi on zaszkodzić właścicielowi biznesu, to zrobi to bez problemu.
film „RocknRolla” (2008)
W tym artykule opowiemy, jak bezpiecznie zablokować wszystkie usługi, w tym 1C, w jednej chmurze, aby mieć możliwość wyłączenia wszystkich usług jednym przyciskiem, nawet jeśli księgowy poleciał na bajeczne Bali.
Co w ogóle może się zdarzyć? Dwa rzeczywiste przypadki
Admin z Wall Street
Żona naszego współzałożyciela, doświadczona księgowa, w zeszłym miesiącu otrzymała zapytanie o pomoc od dużej sieci restauracyjnej w Moskwie. Restauracja przechowywała wszystkie bazy danych na swoim serwerze, którym zarządzał stały admin z zespołu restauracji.
Bezpośrednio w czasie pracy księgowego, admin poszedł do kasyna online i złapał wirusa, który zniszczył wszystkie bazy danych. Na kogo zrzucili winę? Słusznie, na świeżo zatrudnionego księgowego.
Bohaterce miało szczęście, że jej mąż jest menedżerem partnerem w hostingowej firmie i zna się na takich rzeczach. Po długich kłótniach przez telefon (nasz kolega był już gotów ruszać na miejsce i samodzielnie rozwiązać sprawę z adminem) dowody zostały znalezione, a winowajca ukarany. Ale baza danych została utracona, więc dla admina nie było szczęśliwego końca.
Laptop utknął w cudzym mieszkaniu.
To stara historia innych naszych znajomych.
Doświadczona 64-letnia kobieta sumiennie prowadziła księgowość w sklepie internetowym z chińskimi gadżetami za pomocą 1C. Klient i baza były przechowywane na laptopie, który otrzymała w pracy. To było wygodne: łatwo drukować z biurowych drukarek, baza mała i mieści się na netbooku, można zabrać ze sobą na działkę lub do domu.
Potem wydarzyła się tragedia: w piątek wieczorem zabrano ją karetką z powodu udaru. Netbook został w domu, bo księgowa była odpowiedzialna i zabrała pracę na weekend.
Laptop was saved, the accountant is better, but if we transfer this situation to the present days and replace a stroke with coronavirus, the operation of retrieving a computer from a locked apartment takes on completely different proportions.
Can two cats and a Labrador open a door for you? Even if the neighbor waters the flowers and feeds the cats, will she give you the computer?
But let's move on to 1C in the cloud — what are the deployment and operation options in the cloud?
What options are available for working with 1C in the cloud?
Option 1. Client + corporate application server + database
Suitable for large companies where the services of an entire team of accountants are needed. This is quite an expensive option (many additional licenses are required), which we will not consider because the article is about setting up an accountant's work for a small firm.
Option 2. 1C: Fresh
1C: Fresh is a rather convenient way to work in 1C through a browser. No configuration is required: when renting such a license, the franchisor will set everything up by themselves, giving you a login and password.
But there are two downsides:
✗ High price: the basic rate for one application requires payment for at least six months for two workplaces — 6808 rubles
✗ You cannot configure the VPS server yourself, where many companies operate simultaneously. You are given access only to your room in a dormitory, following the principle of shared hosting.
In Fresh, there is also the configuration 1C: BusinessStart, the subscription for which is on promotion at 400 rubles per month. The configuration's capabilities are significantly limited; without a promotion, the subscription will cost 1000 rubles, and it also needs to be paid for at least six months.
Option 3: your own VPS, where the 1C client and database are installed
This option is suitable for small companies where 1-2 accountants work — they can work quite comfortably without installing the 1C: Enterprise application server and SQL server.
The main advantage of this approach is that the rented VPS can serve as a full-fledged working computer for the accountant with RDP access.
Gdy wszystkie bazy, dokumenty i dostęp są przechowywane na VPS, który jest przez ciebie kontrolowany, nie musisz obawiać się ani zablokowanych laptopów w mieszkaniu, ani wspólnej ucieczki księgowego z administratorem na wyspy, zabierających wszystkie dokumenty i pieniądze z rachunku bankowego. Możesz w prosty sposób odciąć dostęp jednym kliknięciem, usuwając użytkownika.
Ta metoda jest dobra również z tego powodu:
- Gdy księgowy pracuje w produktach 1C, 1C generuje wiele dokumentów Word, Excel, Acrobat. Gdy klient 1C jest uruchomiony na laptopie księgowego, wszystkie dokumenty są zapisywane na jego komputerze. Pracując na VPS, wszystko jest zapisywane na wirtualnej maszynie.
- Bazy 1C i dokumenty w ogóle nie trafiają na osobisty komputer księgowego (przy użyciu 1C: Fresh dokumenty trzeba by pobierać).
- Możliwość włączenia VPS do sieci korporacyjnej przez VPN oraz zapewnienia księgowemu bezpiecznego dostępu do wewnętrznych zasobów (przy użyciu 1C: Fresh osobisty komputer księgowego musiałby być podłączony do zabezpieczonej sieci lokalnej).
- Można skonfigurować bezpieczną integrację 1C: Przedsiębiorstwa z systemami zewnętrznymi: EDO, konta bankowe, serwisy rządowe itd. W przypadku używania 1C: Fresh dostęp do wielu krytycznych serwisów musiałby być skonfigurowany na osobistym komputerze księgowego.
No i cena, oczywiście. Wynajem wirtualnej maszyny z licencją 1C kosztuje około 1500 zł miesięcznie, jeśli wybierzesz luksusowe stawki u drogich hostów. To niewiele więcej niż minimalny podstawowy pakiet usług 1C: Fresh i znacznie taniej niż inne subskrypcje. Możesz płacić co miesiąc.
Licencję można kupić u każdego franczyzobiorcy, a cena zależy od konfiguracji pakietu produktów i usług, a po wygaśnięciu okresu należy dopłacić za wsparcie przez portal 1C: ITS, aby były aktualizacje.
Jeśli chcesz u nas, oferujemy wirtualną maszynę z preinstalowanym klientem 1C: Przedsiębiorstwa (wystarczy napisać do nas do wsparcia z opisem swojego zadania). Wynajem wirtualnej maszyny kosztuje około 800 zł miesięcznie, a koszt wynajmu licencji 1C na jedno stanowisko pracy wyniesie dodatkowo 700 zł. Wsparcie zapewniamy bez dodatkowej opłaty, a 1C: Przedsiębiorstwo aktualizują nasi specjaliści, jeśli napiszesz do wsparcia technicznego.
Dla księgowego wszystko będzie wyglądać dokładnie tak samo — znajomy pulpit, ikony, można nawet powiesić znajome tapety. A teraz do rzeczy, jak stworzyć i skonfigurować takie chmurowe rozwiązanie, którego dostęp można wyłączyć jednym przyciskiem.
Zamawiamy VPS z wbudowanym 1C: Przedsiębiorstwem.
Dla księgowego idealnym systemem operacyjnym jest Windows. Jeśli chodzi o moc VPS — z naszego doświadczenia, do komfortowej pracy jednego lub dwóch pracowników z wersją serwerową 1C: Przedsiębiorstwa wystarczy konfiguracja z dwoma rdzeniami obliczeniowymi, minimum 4-5 GB pamięci RAM i szybki SSD o pojemności 50 GB.
Nie automatyzujemy usług, póki nie jesteśmy pewni, że są one potrzebne klientom, dlatego na razie jej podłączenie nie jest zautomatyzowane i zamówienie serwera z 1C należy złożyć przez system zgłoszeń. Wszystko skonfigurujemy ręcznie dla Ciebie.
Kiedy połączysz się z utworzoną maszyną wirtualną przez RDP, możesz zobaczyć mniej więcej taki obrazek.
Przenosimy bazę danych 1C.
Kolejny etap — wyeksportowanie bazy danych z wcześniej zainstalowanej wersji 1C: Przedsiębiorstwa na komputerze księgowym.
Następnie trzeba ją załadować na serwer wirtualny przez FTP, za pomocą dowolnej chmury lub podłączając nośnik lokalny do VPS przy użyciu klienta RDP.
Następnie należy dodać bazę danych w programie klienckim: pokazujemy, jak to zrobić, na zrzutach ekranu.
Po pomyślnym dodaniu bazy 1C: Przedsiębiorstwo jest gotowe do pracy na Twoim własnym VPS. Pozostaje skonfigurować zdalne pulpity dla użytkowników oraz integrację z różnymi zewnętrznymi systemami, takimi jak systemy bankowe czy usługi elektronicznego obiegu dokumentów.
Konfigurujemy zdalne pulpity.
Domyślnie Windows Server zezwala na nie więcej niż dwie jednoczesne sesje RDP do administrowania systemem. Użycie ich do pracy technicznie nie sprawia trudności (wystarczy dodać użytkownika bez uprawnień do odpowiedniej grupy), ale jest to naruszenie warunków umowy licencyjnej.
Aby uruchomić pełnoprawne usługi zdalnego pulpitu (Remote Desktop Services lub RDS), należy dodać role i komponenty serwera, aktywować serwer licencjonujący lub użyć zewnętrznego, a także zainstalować oddzielnie zakupione licencje klienckie (RDS CAL).
Tutaj również możemy pomóc: u nas można kupić RDS CAL, po prostu pisząc Dalej będziemy działać my: zainstalujemy je na naszym serwerze licencyjnym i skonfigurujemy usługi zdalnych pulpitów.
Oczywiście, jeśli chcesz skonfigurować wszystko samodzielnie, nie zabierzemy ci tej przyjemności.
Po skonfigurowaniu RDS księgowy może rozpocząć pracę z 1C: Przedsiębiorstwem na wirtualnym serwerze tak, jak na lokalnej maszynie. Nie zapomnij zainstalować na VPS standardowego oprogramowania księgowego: pakietu biurowego, zewnętrznej przeglądarki, Acrobat Reader.
Teraz wystarczy zadbać o podłączenie klienta 1C do osobistych kont bankowych.
Konfigurujemy integrację z bankami
W 1C: Przedsiębiorstwie istnieje technologia DirectBank do bezpośredniej wymiany danych z bankami, bez konieczności instalacji dodatkowego oprogramowania. Pozwala ona na ładowanie wyciągów i wysyłanie dokumentów płatniczych bez eksportowania ich do plików, jeśli bank obsługuje ten standard współpracy (w przeciwnym razie trzeba będzie korzystać ze starych plików tekstowych w formacie 1C, ale to nic strasznego — teraz są one przechowywane na wirtualce).
Na początek w programie księgowym tworzy się rachunek bankowy (jeśli jeszcze nie jest utworzony), a następnie należy otworzyć jego formularz w karcie organizacji i wybrać polecenie „Podłącz 1C: DirectBank”. Ustawienia wymiany mogą być ładowane do 1C: Przedsiębiorstwo automatycznie lub ręcznie: szczegółowe instrukcje należy znaleźć na stronie banku. W niektórych przypadkach integrację z produktami 1C należy aktywować oddzielnie na koncie osobistym.
Może być wymagany login i hasło do osobistego konta firmy w banku. Najczęściej używana jest przy tym dwuetapowa weryfikacja (2FA) przez SMS.
Inną popularną opcją, zabezpieczonym tokenem sprzętowym, nie możemy zastosować z powodu korzystania z wirtualnego serwera. Ponadto zabezpieczone nośniki musiałyby być wyniesione z terenu firmy i przekazane pracującemu zdalnie księgowemu, tracąc nad nim kontrolę.
Opcja z logowaniem/hasłem i 2FA przez SMS może być również niebezpieczna, chociaż technologia DirectBank pozwala tylko na otrzymywanie wyciągów i wysyłanie dokumentów płatniczych. Aby przeprowadzić płatność, trzeba je poświadczyć podpisem elektronicznym, który jest przechowywany na zabezpieczonym fizycznym nośniku klienta lub po stronie banku. W pierwszym przypadku nie ma problemu: jeśli zewnętrzny księgowy nie ma dostępu do tokena, będzie mógł tylko przygotować dokumenty.
W przypadku chmury podpisu elektronicznego, SMS z jednorazowym kodem do potwierdzenia płatności jest zwykle wysyłany na ten sam numer telefonu, który jest używany do uwierzytelnienia w panelu klienta. Niektóre banki same rozwiązały ten problem, pozwalając klientom na wymianę danych przez DirectBank bez 2FA. W takim przypadku księgowy będzie mógł jedynie pobierać wyciągi i przesyłać dokumenty, ale nie uzyska dostępu do pieniędzy ani nawet do panelu klienta.
Jest jeszcze jedna opcja do podziału poziomów dostępu: wiele banków umożliwia korzystanie z konta na e-usługach poprzez jednolity system identyfikacji i uwierzytelniania (). Kierownik musi po prostu zalogować się do ustawień swojego konta, wybrać zakładkę „Organizacje” i zaprosić pracownika. Kiedy ten zaakceptuje zaproszenie, w sekcji „Dostępy do systemów” będzie można znaleźć swój bank (wcześniej konfigurowując integrację z nim) i przyznać użytkownikowi dostęp do panelu klienta. Nie ma potrzeby przekazywania mu telefonu lub tokena używanego do podpisywania dokumentów płatniczych.
Podłączamy się do usług EDO
Usługi do wymiany dokumentów elektronicznych są wygodne, a powszechna praca zdalna uczyniła je po prostu niezbędnymi. Klient 1C: Przedsiębiorstwo integruje się z nimi, ale prawnie skuteczne EDO wymaga użycia kwalifikowanego podpisu elektronicznego.
Może być zapisywane tylko na pendrive lub przechowywane w krajowej chmurze spełniającej odpowiednie certyfikaty regulatorów.
Nie można załadować podpisu elektronicznego na żadne medium ani przechowywać go na VPS, dlatego zazwyczaj księgowy pracuje z elektronicznym obiegiem dokumentów z lokalnego komputera, podłączając pendrive. Na nim zainstalowane jest certyfikowane narzędzie kryptograficznej ochrony informacji (tzw. kryptoprovider) oraz publiczny certyfikat podpisu elektronicznego. Jego część prywatna przechowywana jest na pendrive, który należy fizycznie podłączyć do komputera, aby podpisać dokumenty w obsługujących tę funkcję programach. Do pracy z EDO przez interfejs webowy potrzebne będą wtyczki do przeglądarek.
Aby krytyczny dla biznesu system nie musiał być uruchamiany na osobistym komputerze zdalnego pracownika, przyda się również VPS, jednak opcja z fizycznym tokenem nie zadziała.
Trudno powiedzieć, jak zachowa się kryptoprovider w środowisku wirtualnym, tym bardziej przy próbie przekierowania portu USB na VPS przez klienta RDP. Pozostaje chmurowy podpis elektroniczny bez fizycznego nośnika, lecz nie wszystkie usługi EDO oferują taką opcję. Kosztuje to zresztą około tysiąca rubli rocznie, nie licząc opłat abonamentowych za samą usługę wymiany dokumentów, która zależy od wolumenów.
Dobrą wiadomością jest to, że praktycznie wszystkie popularne rosyjskie usługi od dawna nawiązały wzajemny roaming dokumentów, więc można się łączyć z dowolną. Złą wiadomością jest to, że całkowite odejście od papieru nie jest możliwe, ponieważ wśród kontrahentów zawsze znajdą się tacy, którzy nie korzystają z EDO.
Konfigurujemy dostęp do usług z wykorzystaniem certyfikatów
Wiele usług umożliwia uwierzytelnianie i autoryzację bez loginu i hasła przy użyciu klientskich certyfikatów SSL, które również można zainstalować na VPS, a nie na komputerze księgowego.
W ten sam sposób można skonfigurować uwierzytelnianie na korporacyjnych zasobach internetowych. Jak to zrobić:
- Kupić zaufane Centrum Certyfikacji, aby za jego pomocą podpisywać i weryfikować klientskie certyfikaty SSL;
- Utworzyć klientskie certyfikaty SSL, podpisane zaufanym certyfikatem;
- Skonfigurować serwery WWW, aby żądały i weryfikowały klientskie certyfikaty SSL;
- Zainstalować certyfikaty klienta użytkownikom zdalnych pulpitów na VPS.
Temat wdrażania 1C: Przedsiębiorstwa dla małych firm na wirtualnych serwerach jest szeroki; opisaliśmy tylko jeden sposób, który jest odpowiedni dla zapewnienia bezpieczeństwa księgowości.
VPS może czasami dobrze służyć i uniknąć instalacji krytycznych rozwiązań IT oraz przekazywania prywatnych danych korporacyjnych na osobisty komputer pracownika zdalnego.
Mamy nadzieję, że artykuł był dla Ciebie przydatny.
Źródło: habr.com
