Шифрование базы 1С: что защищает платформа, а что нужно закрыть средствами Windows и СУБД

Зашифровать файл 1С проще всего на уровне диска: включите BitLocker на томе, где лежит 1Cv8.1CD, а резервные копии упаковывайте в архив 7-Zip с паролем и шифрованием AES-256. Для серверной базы на MS SQL Server шифрование данных включают в самой СУБД — механизмом TDE.

Платформа 1С сама по себе файл базы не шифрует. Её защита — пользователи, пароли и права. Этого хватает, пока файл не попал в чужие руки: украденный ноутбук, флешка с копией, выгрузка .dt в общей папке. Формат 1Cv8.1CD читается сторонними утилитами, поэтому без шифрования чужой человек увидит контрагентов, зарплаты и паспортные данные сотрудников.

Что даёт защита данных средствами самой 1С

Встроенные механизмы 1С:Предприятия 8.3 закрывают доступ через программу, но не через файл. Их всё равно нужно настроить: шифрование диска без паролей в 1С бессмысленно, если базу запускает кто угодно с рабочего места.

🔐 Что настроить в платформе и типовых конфигурациях:

• Пользователи с паролями. В БП 3.0, ЗУП 3.1 и УТ 11 — Администрирование → Настройки пользователей и прав. Там же включают требования к сложности и сроку действия пароля.
• Аутентификация операционной системы. Пользователь входит под своей учётной записью Windows, пароль 1С не хранится на бумажке у монитора.
• Роли и профили групп доступа. Кассир не должен видеть зарплату, кладовщик — банк.
• Запрет интерактивного открытия внешних обработок. Через внешнюю обработку данные выгружаются в Excel в обход прав интерфейса.
• Шифрование присоединённых файлов. В конфигурациях на БСП есть подсистема «Электронная подпись и шифрование». Её включают в Администрирование → Общие настройки, нужен криптопровайдер и сертификат. Так шифруют отдельные вложения — сканы паспортов, договоры. Саму базу эта функция не шифрует.

Права в 1С не защищают сам файл: тот, кто скопировал 1Cv8.1CD, обходит пароли платформы. Поэтому дальше — шифрование средствами Windows и СУБД.

Шифрование файловой базы 1С через BitLocker и EFS

В Windows есть два штатных инструмента. Они работают по-разному, и для 1С это принципиально.

BitLocker на томе с базами

Самый надёжный вариант для файловой базы. Удобно вынести базы на отдельный том, например D:\Bases, и зашифровать его целиком.

1. Откройте командную строку от имени администратора.
2. Проверьте состояние томов:

manage-bde -status

3. Включите шифрование тома с паролем восстановления:

manage-bde -on D: -RecoveryPassword

4. Сохраните выведенный 48-значный ключ восстановления вне этого компьютера: в учётной записи, на бумаге в сейфе или в Active Directory.
5. Дождитесь окончания шифрования. Работать с 1С в это время можно, просто диск будет занят.

То же делается мышью: Панель управления → Шифрование диска BitLocker → Включить BitLocker напротив нужного тома.

EFS для локальной базы

EFS подходит, если базой пользуется один человек на своём компьютере. Шифрование папки с базой:

cipher /e /s:"C:\Users\buh\Documents\1C\Buh"

Файл расшифровывается прозрачно для того, кто его зашифровал. Другой пользователь Windows получит отказ в доступе, и 1С не откроет базу.

Сделайте резервную копию сертификата EFS (через certmgr.msc, раздел «Личное → Сертификаты», экспорт с закрытым ключом). Без него после переустановки Windows или сброса пароля учётной записи базу не открыть.

Архиваторы и сторонние утилиты для резервных копий 1С

Рабочую базу архиватором не зашифруешь: 1С не откроет файл внутри архива. Зато для копий это лучший способ. Выгрузка .dt или копия 1Cv8.1CD, отправленная в облако или на флешку, должна лежать в зашифрованном архиве.

7-Zip шифрует архив .7z алгоритмом AES-256. Ключ -mhe=on скрывает ещё и имена файлов внутри:

"C:\Program Files\7-Zip\7z.exe" a -t7z -mhe=on -p D:\Backup\buh_2026-10-07.7z D:\Bases\Buh\1Cv8.1CD

С ключом -p без значения 7-Zip спросит пароль в консоли. Для запуска по расписанию пароль передают так: -pВашПароль. Он останется в тексте bat-файла, поэтому сам скрипт храните в папке, доступной только администратору.

🧰 Какие инструменты встречаются на практике:

• 📦 7-Zip (.7z, AES-256) — бесплатно, подходит для ночных копий.
• 📦 WinRAR (.rar версии 5) — тоже AES-256, удобно, если он уже куплен.
• 💽 VeraCrypt — контейнер с базой на флешке бухгалтера, который ездит между офисами.

Шифрование базы 1С на SQL Server и PostgreSQL

В клиент-серверном варианте файла 1Cv8.1CD нет: данные лежат в базе СУБД. Шифруют их там же.

TDE в MS SQL Server

Transparent Data Encryption шифрует файлы данных и журнала. Для 1С изменения незаметны: сервер 1С работает с базой как раньше. TDE есть в редакции Enterprise, а начиная с SQL Server 2019 — и в Standard.

Порядок включения для базы buh:

USE master;
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'Сложный_пароль_1';
CREATE CERTIFICATE TDE_Cert WITH SUBJECT = 'TDE for 1C';

USE buh;
CREATE DATABASE ENCRYPTION KEY
  WITH ALGORITHM = AES_256
  ENCRYPTION BY SERVER CERTIFICATE TDE_Cert;
ALTER DATABASE buh SET ENCRYPTION ON;

Сразу после этого сохраните сертификат с закрытым ключом:

USE master;
BACKUP CERTIFICATE TDE_Cert TO FILE = 'D:\Keys\TDE_Cert.cer'
  WITH PRIVATE KEY (FILE = 'D:\Keys\TDE_Cert.pvk',
  ENCRYPTION BY PASSWORD = 'Сложный_пароль_2');

Без копии сертификата резервную копию базы с TDE не восстановить ни на каком другом сервере.

Прогресс шифрования видно в представлении sys.dm_database_encryption_keys: поле encryption_state равно 3, когда база зашифрована полностью.

Пароли и доступ на уровне SQL

Шифрование бесполезно, если к СУБД подключаются под sa с паролем из трёх букв.

• 👤 Заведите для сервера 1С отдельный логин SQL с правами только на свои базы. Его указывают в параметрах информационной базы в кластере.
• 🚫 Не давайте бухгалтерам прямой доступ к SQL Server — им хватает доступа к 1С.
• 🔒 Закройте порт СУБД снаружи: подключаться к нему должен только сервер 1С.

PostgreSQL

В стандартной сборке PostgreSQL прозрачного шифрования данных нет. Для 1С на PostgreSQL шифруют диск сервера: BitLocker на Windows, LUKS на Linux. Копии pg_dump шифруют так же, как .dt, — архивом с паролем или средствами системы резервного копирования.

Скорость работы и ограничения шифрования 1С

Шифрование почти всегда дешевле, чем кажется. Современные процессоры Intel и AMD поддерживают инструкции AES-NI, и BitLocker на SSD обычно не замедляет работу базы заметно для пользователя.

Где нагрузка всё же ощущается:

• 🐢 Первичное шифрование тома. Пока BitLocker шифрует диск на 500 ГБ, тяжёлые операции 1С (закрытие месяца, тестирование и исправление) идут медленнее. Запускайте шифрование вечером.
• 🐢 TDE на загруженном SQL Server. Растёт нагрузка на процессор при чтении с диска. Плюс зашифрованной становится tempdb для всех баз этого экземпляра.
• 🐢 Старые компьютеры без AES-NI — там разница может стать заметной.

Что шифрование не решает:

Регламентное обслуживание и копии зашифрованной базы 1С

Шифрование меняет привычные операции. Тестирование и исправление, выгрузка .dt, обновление конфигурации идут как обычно, но есть нюансы с копиями и ключами.

Где расшифровывается файл без вашего ведома

Копия файла с тома BitLocker на обычную флешку уже не зашифрована. Шифрование принадлежит диску, а не файлу. То же с EFS: при копировании на флешку с FAT32 или exFAT Windows предупредит, что файл будет сохранён без шифрования.

Значит, правило простое: каждая копия базы, покидающая зашифрованный диск, шифруется отдельно.

Порядок ночного резервного копирования файловой базы

1. Убедитесь, что пользователи вышли из базы, или делайте выгрузку .dt через Конфигуратор в нерабочее время. Если копировать 1Cv8.1CD при открытых сеансах, копия может оказаться несогласованной.
2. Скопируйте файл базы или выгрузите .dt во временную папку на том же зашифрованном томе.
3. Упакуйте его в .7z с паролем и ключом -mhe=on.
4. Отправьте архив в облако или на сетевое хранилище.
5. Удалите незашифрованную временную копию.
6. Раз в месяц проверяйте восстановление: распакуйте архив на тестовом компьютере и откройте базу.

Для SQL Server

Шифруйте сами файлы резервных копий. Начиная с SQL Server 2014 это делается в команде копирования:

BACKUP DATABASE buh TO DISK = 'E:\Backup\buh.bak'
  WITH COMPRESSION,
  ENCRYPTION (ALGORITHM = AES_256, SERVER CERTIFICATE = TDE_Cert);

Сертификат и пароли к нему держите в двух местах: в хранилище паролей администратора и на носителе в сейфе. На том же сервере, что и база, — нельзя.

Частые ошибки при шифровании базы 1С

❌ Включили EFS на папку с сетевой базой. Остальные пользователи получают ошибку доступа к файлу, и база не открывается. Для общей папки на сервере нужен BitLocker на томе и права NTFS.

❌ Потеряли ключ восстановления BitLocker. После замены материнской платы или обновления прошивки система просит ключ. Без него данные не вернуть, и поддержка Microsoft тоже не поможет, если ключ не сохранялся в учётную запись.

❌ Шифруют базу, но копии лежат открыто. Ночная выгрузка .dt в общей папке \\server\backup сводит на нет шифрование диска.

❌ Пароль к архиву в имени файла или в соседнем txt. Встречается чаще, чем хотелось бы. Пароль хранится отдельно от архива.

❌ Перенесли базу с TDE на другой сервер без сертификата. SQL Server откажется восстанавливать копию, пока на новом сервере нет того же сертификата.

Частые вопросы