Защита документов 1С от копирования: роли, расширение, RDP и аудит

Отдельного флажка «запретить копирование» в 1С нет. Команда Скопировать (клавиша F9) создаёт новый документ, поэтому платформа проверяет у пользователя право «Добавление». Забрать только копирование, оставив создание, можно двумя путями: расширением конфигурации, которое отменяет открытие формы-копии, или запретом на уровне ролей вместе с созданием.

Если же задача шире — не дать вынести данные из базы через буфер обмена, печать и файлы, — нужны другие инструменты: право «Вывод», терминальный доступ с отключённым буфером и аудит. Всё это работает в 1С:Предприятии 8.3 с интерфейсом «Такси»; пути меню ниже даны для БП 3.0, ЗУП 3.1 и УТ 11 — они построены на одной библиотеке (БСП), и раздел прав у них устроен одинаково.

Что именно вы хотите запретить: копию документа или вынос данных

Под «защитой от копирования» в 1С понимают две разные задачи. Перепутать их — значит потратить день на настройку, которая ничего не закрывает.

Права и роли: как запретить копирование документов через группы доступа

В типовых конфигурациях права выдаются не ролями напрямую, а через профили групп доступа. Профиль — набор ролей. Группа доступа — профиль плюс список пользователей и, при необходимости, ограничения по организациям.

Прав на документ у платформы несколько: «Чтение», «Добавление», «Изменение», «Удаление», «Проведение», «Вывод» и их интерактивные варианты. Права «Копирование» среди них нет. Копия — это новый объект, значит без «Добавления» её не создать.

Порядок настройки профиля в БП 3.0, ЗУП 3.1, УТ 11

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Найдите профиль, который сейчас назначен сотруднику. Поставляемые профили менять нельзя — выделите его и скопируйте командой Скопировать.
3. Дайте копии понятное имя, например «Бухгалтер без создания актов».
4. На вкладке ролей найдите роль, которая даёт право добавлять нужный документ. Обычно имя роли содержит слово «Добавление» или «Изменение» и название объекта. Снимите флажок.
5. Запишите профиль. Откройте Группы доступа, создайте группу с новым профилем и перенесите туда пользователя из старой группы.
6. Зайдите под этим пользователем и проверьте: кнопок Создать и Скопировать в списке документов быть не должно.

Если подходящей роли нет, профили тут не помогут. Создайте собственную роль в расширении: в ней права на документ, кроме «Добавления», и подключите её к профилю.

Ограничение по организациям и складам

Часто цель не «запретить копировать», а «запретить видеть чужие документы». Для этого в БП 3.0 есть флажок Ограничивать доступ на уровне записей в разделе Администрирование → Настройки пользователей и прав. После его включения в группе доступа можно указать, с какими организациями работает сотрудник. Документы других фирм он не увидит — значит, и не скопирует.

Программная блокировка: отмена копирования в расширении

Это главный приём, когда сотрудник должен создавать документы, но не копией. Механизм простой. Когда пользователь копирует документ, платформа открывает форму нового объекта и передаёт в параметр формы ЗначениеКопирования ссылку на исходный документ. При обычном создании этот параметр пустой.

Значит, достаточно проверить параметр при создании формы и отменить её открытие.

Пошагово

1. Откройте конфигуратор: Конфигурация → Расширения конфигурации, создайте новое расширение.
2. В дереве основной конфигурации найдите нужный документ, его основную форму документа, и добавьте её в расширение через контекстное меню.
3. В модуле заимствованной формы создайте обработчик события ПриСозданииНаСервере с аннотацией &Перед.
4. Вставьте код ниже, сохраните расширение и обновите конфигурацию базы данных.
5. В режиме 1С:Предприятие проверьте копирование под обычным пользователем и под администратором.

&НаСервере
&Перед("ПриСозданииНаСервере")
Процедура ЗапретКопирования_ПриСозданииНаСервере(Отказ, СтандартнаяОбработка)

	Если ЗначениеЗаполнено(Параметры.ЗначениеКопирования)
		И Не РольДоступна("ПолныеПрава") Тогда

		Отказ = Истина;
		ОбщегоНазначения.СообщитьПользователю(
			"Копирование документов этого вида запрещено. Создайте новый документ.");

	КонецЕсли;

КонецПроцедуры

Что делает код: если форма открывается как копия, а у пользователя нет роли полных прав, форма не открывается, и он видит сообщение. Администратор копировать по-прежнему может.

Что ещё стоит знать про программный запрет

• 🔹 Вместо роли — своё условие. Можно разрешить копирование конкретной группе пользователей: создайте в расширении пустую роль «РазрешеноКопирование» и проверяйте РольДоступна("РазрешеноКопирование").
• 🔹 Копирование кодом этот способ не ловит. Обработка, которая вызывает метод Скопировать() у документа, форму не открывает. У модуля объекта есть событие ПриКопировании, но параметра отказа в нём нет — остановить копию там можно только исключением, а это ломает и типовые механизмы, которые копируют документы для себя.
• 🔹 Скрыть кнопку мало. Пользователь сам может убрать кнопку через Ещё → Изменить форму, но и вернуть её тем же путём. Сокрытие команды — косметика, проверка в коде — защита.
• 🔹 Расширение не слетает при обновлении. Типовая конфигурация обновляется, расширение остаётся. Если форма в новом релизе сильно изменилась, платформа сообщит о проблеме при применении расширения.

Буфер обмена, печать и выгрузка списков: право «Вывод»

Сотрудник, который не может скопировать документ , всё ещё может выделить список клиентов, нажать Ctrl+C и вставить в Excel. Или вывести список в табличный документ и сохранить файлом.

За это отвечает право «Вывод» на объекты метаданных. По описанию платформы оно разрешает печать, запись в файл и копирование в буфер обмена. Без него команды вывода списка и копирования из таблицы для этого объекта не работают.

В конфигурациях на БСП есть отдельная роль с правом вывода на принтер, в файл и в буфер обмена. Найдите её в списке ролей профиля поиском по слову «буфер» и решите, нужна ли она сотруднику.

Не отбирайте вывод у всех подряд — бухгалтер без печати не закроет месяц. Обычно запрет нужен менеджерам с доступом к базе клиентов и стажёрам.

Терминальный доступ и RDP: запрет буфера на уровне сервера

Права 1С защищают данные внутри программы. Но если копирование в Excel внутри сеанса разрешено, файл уйдёт по почте или на флешку. Надёжнее держать базу на терминальном сервере и не выпускать оттуда буфер обмена.

Что настроить на Windows Server 2016 и новее

1. Откройте редактор групповых политик (gpedit.msc или доменная политика для сервера).
2. Перейдите: Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Перенаправление устройств и ресурсов.
3. Включите политику «Не разрешать перенаправление буфера обмена».
4. Там же включите «Не разрешать перенаправление дисков», чтобы пользователь не записал файл на свой компьютер.
5. Обновите политики командой gpupdate /force.

Хороший вариант — публиковать 1С как RemoteApp. Пользователь видит только окно программы, без рабочего стола сервера, проводника и браузера. Опубликуйте приложение запуска 1cestart.exe или конкретный 1cv8.exe нужной версии платформы.

Что этот способ не закрывает:

• 📸 фото экрана телефоном;
• ⌨️ ручное переписывание данных;
• 🖨️ печать, если принтер перенаправлен — отключите и его в той же ветке политик;
• 📧 отправку почты из самой 1С, если она настроена в базе.

Аудит и мониторинг: кто и когда скопировал документ

Запрет без контроля — половина дела. Копия в журнале выглядит как обычное создание нового документа: отдельного события «копирование» нет. Поэтому ищите новые документы нужного вида и сравнивайте их с исходниками.

Журнал регистрации

1. Откройте Администрирование → Обслуживание → Журнал регистрации.
2. Установите отбор: период, пользователь, событие добавления данных, метаданные — нужный документ.
3. Посмотрите, какие документы создал сотрудник и сколько.

В конфигураторе через Администрирование → Настройка журнала регистрации проверьте уровень: для аудита нужна регистрация хотя бы информации, а не только ошибок.

История изменений объектов

В БП 3.0 и ЗУП 3.1 можно включить версионирование: в разделе Администрирование → Общие настройки найдите настройку истории изменений. После этого у каждого документа видно, кто и какие реквизиты менял после создания. Если сотрудник скопировал документ и подменил контрагента или сумму, это будет в версиях.

Для контроля выгрузок полезен отбор журнала по событию запуска внешних обработок: если рядовой пользователь вдруг открыл чужую обработку, это повод разобраться.

DLP-системы: когда штатных средств 1С мало

Если данные — коммерческая тайна, а риск утечки — реальная угроза бизнесу, смотрите в сторону DLP. Эти системы ставят агент на рабочее место или терминальный сервер и контролируют буфер обмена, печать, флешки, почту и мессенджеры. На российском рынке это, например, InfoWatch, SearchInform, Falcongaze, Staffcop.

Отдельный юридический момент. Чтобы привлечь сотрудника к ответственности за разглашение, режим коммерческой тайны должен быть введён по правилам закона «О коммерческой тайне»: перечень сведений, ознакомление под подпись, гриф на документах. Сами по себе настройки 1С этот режим не создают.

Пределы защиты и как сохранить настройки после обновлений

Ни одна настройка не защищает от пользователя с полными правами. Администратор базы, программист с доступом в конфигуратор и тот, у кого есть резервная копия базы в формате .dt, обойдут любые ограничения. Поэтому:

• 🔐 держите полные права у двух-трёх человек и проверяйте список раз в квартал;
• 🔐 закройте доступ к каталогу базы и к резервным копиям на уровне файловой системы или сервера СУБД;
• 🔐 отключите внешнее соединение и COM для обычных пользователей — через них данные читаются без интерфейса.

Что происходит с настройками при обновлении типовой конфигурации:

Свой профиль, собранный из поставляемого, не получает новые роли из релиза автоматически. Если после обновления сотрудник жалуется, что «пропал раздел», сравните его профиль с поставляемым.

Частые вопросы