В системе «1С:Документооборот 1.4» права на присоединенные файлы неразрывно связаны с правами на сам документ (владелец файла). Если пользователь имеет право на чтение карточки документа, система по умолчанию предоставляет ему право на просмотр всех вложенных файлов. Для решения задачи ограничения доступа к конфиденциальным данным, таким как скан-копии доверенностей с паспортными данными, нам необходимо ограничить доступ к самому объекту документа. Рассмотрим подробно все доступные механизмы настройки.
Механизм Рабочих групп является самым приоритетным и жестким способом ограничения прав в системе. Рассмотрим, как он работает: если в карточке документа на вкладке Рабочая группа указан хотя бы один пользователь или группа пользователей, то доступ к этому документу (и всем его файлам) получают только участники этой группы и администраторы системы. Все остальные пользователи, даже имея широкие права в политиках доступа, документ не увидят.
Разберем алгоритм настройки ограничения через рабочую группу:
Запретить доступ всем, кроме участников рабочей группы (в зависимости от точной сборки 1.4 этот механизм может активироваться автоматически при заполнении списка).Чтобы не заполнять рабочую группу вручную для каждой новой доверенности, проанализируем настройки вида документа. В меню Настройка и администрирование — Виды документов выберем «Доверенность». На вкладке Настройки можно установить флаг Автоматически формировать рабочую группу. В этом случае в группу будут попадать автор документа, ответственный и все участники процессов согласования/исполнения по этому документу.
Если нам требуется ограничить доступ ко всем документам вида «Доверенность» сразу для целых категорий пользователей, воспользуемся Политиками доступа. Этот механизм определяет общие правила игры в системе.
Выполним следующие шаги для настройки:
Настройка и администрирование — Политики доступа.Доверенность.Чтение или Регистрация только для определенных групп пользователей (например, «Бухгалтерия» или «Администрация»).Все пользователи (или аналогичной общей группы) доступ к этому виду документа либо отсутствует, либо ограничен.Важно помнить, что политики доступа работают по принципу «Разрешено все, что разрешено явным образом». Если пользователь не попадает ни в одно разрешающее правило политики для данного вида документа, он не сможет открыть его карточку и, соответственно, файл.
В 1С:Документооборот внутренние документы хранятся в иерархической структуре папок. Это еще один мощный рычаг управления видимостью. Проанализируем ситуацию: если все доверенности хранятся в папке «Доверенности», мы можем ограничить права на саму папку.
Рассмотрим порядок действий:
Наследовать права от вышестоящих папок, если мы хотим полностью переопределить доступ.Внимание: права на папки эффективно работают только в том случае, если в системе не настроены слишком «либеральные» общие политики доступа, которые могут перекрывать настройки папок.
При анализе прав администраторы часто сталкиваются с объектом Дескриптор доступа. Выясним причину, почему его нельзя редактировать вручную. Дескриптор — это служебный кэш, техническая таблица, в которую система записывает итоговый результат расчета прав. 1С:Документооборот вычисляет права на основе пересечения политик доступа, настроек папок и рабочих групп.
Редактировать их вручную бессмысленно, так как при любом изменении документа или срабатывании регламентного задания Обновление прав доступа система перезапишет дескриптор заново. Чтобы изменить права, нужно менять именно «первичные» настройки, описанные выше.
Часто возникает путаница с механизмом Настройка доступности полей по состоянию. Рассмотрим подробнее этот функционал. Он предназначен для того, чтобы запретить редактирование определенных полей (или удаление файлов) в зависимости от статуса документа (например, когда документ находится в статусе «Согласован»).
Однако этот механизм не скрывает файлы от просмотра. Если пользователь имеет право на чтение документа, он все равно сможет открыть прикрепленный скан, даже если в «Настройке доступности полей» стоит запрет на изменение. Поэтому для защиты персональных данных этот метод не подходит — используйте политики доступа или рабочие группы.
Если после всех настроек рядовой пользователь все еще видит «секретные» файлы, необходимо проанализировать его Профиль групп доступа. В системе существуют предопределенные роли, которые дают глобальные права.
Проверим следующие моменты:
Полные права (администратор видит всё).Чтение всех документов или Ответственный за внутренние документы. Эти роли часто игнорируют ограничения рабочих групп и папок, предоставляя доступ ко всему контенту базы.Для обеспечения безопасности рекомендуется использовать профиль Пользователь с минимально необходимым набором ролей и расширять права точечно через политики и рабочие группы в карточках документов.
Таким образом, мы разобрали комплексный подход к защите данных. Сочетание правильно настроенных Политик доступа для массовых правил и Рабочих групп для индивидуальных ограничений позволит надежно скрыть паспортные данные в доверенностях от посторонних глаз.