В конфигурации 1С:Зарплата и Управление Персоналом 3.1 (ЗУП) часто возникает ситуация, вызывающая недоумение у сотрудников службы безопасности и системных администраторов. Пользователь, которому назначен типовой профиль "Кадровик (без доступа к зарплате)", казалось бы, не должен видеть никаких сумм. Однако на практике он может легко вывести данные о ФОТ, окладах и надбавках в списках штатного расписания или сотрудников. Проанализируем, почему это происходит и как решить данную проблему.
Рассмотрим ситуацию глазами пользователя. Даже если на форме штатного расписания поля с суммами скрыты программно, платформа 1С предоставляет мощный инструмент — «Изменить форму». Разберем по шагам, как кадровик получает доступ к запрещенным данным:
ШтатноеРасписание.Ссылка.ФОТ, Оклад, Районный коэффициент и другие показатели.Выясним причину такого поведения системы. Основная проблема кроется в архитектуре прав доступа платформы «1С:Предприятие 8.3». В 1С права работают по принципу сложения: если пользователю назначено несколько ролей, и хотя бы в одной из них разрешен просмотр реквизита, он будет доступен, даже если во всех остальных ролях он явно запрещен.
Проанализируем состав профиля «Кадровик (без доступа к зарплате)». В него включена роль ЧтениеШтатногоРасписания. Разработчики типовой конфигурации могли ограничить доступ к реквизитам ФОТ в этой конкретной роли, но зачастую в профиль попадают вспомогательные роли (например, для работы с отчетами или общими справочниками), у которых стоит флаг «Устанавливать права для реквизитов и табличных частей по умолчанию».
Посмотрим на важный нюанс: если у роли есть право Просмотр на сам объект (справочник), но сняты флаги с конкретных реквизитов, то через механизм «Ссылка.Реквизит» в списках эти данные все равно могут «просочиться», если какая-то другая роль (даже самая простая) дает общий доступ к метаданным объекта.
Кроме того, данные о ФОТ в ЗУП 3 хранятся не только в справочнике ПозицииШтатногоРасписания, но и в независимых регистрах сведений, таких как ФОТНачисленийПозицийШтатногоРасписания. Если у кадровика есть права на чтение этих регистров (что бывает необходимо для корректного формирования кадровых приказов), система отобразит данные и в связанных списках.
Самый надежный способ закрыть «дыру» в безопасности, не снимая критически важных прав, которые могут нарушить логику проведения документов, — это использование расширений конфигурации. Рассмотрим, как это реализовать.
Мы можем программно запретить пользователям без определенной роли (например, ПолныеПрава или ДоступКЗарплате) изменять форму в части конкретных полей. Проанализируем пример кода, который можно разместить в модуле формы списка штатного расписания в расширении:
&НаСервере
Процедура Расш1_ПриСозданииНаСервереПосле(Отказ, СтандартнаяОбработка)
// Проверяем наличие роли доступа к зарплате
Если Не РольДоступна("ПолныеПрава") И Не РольДоступна("ЧтениеЗарплаты") Тогда
// Находим элемент ФОТ в списке и удаляем его из возможности выбора
ЭлементФОТ = ЭтаФорма.Элементы.Список.ПодчиненныеЭлементы.Найти("ФОТ");
Если ЭлементФОТ <> Неопределено Тогда
ЭлементФОТ.Видимость = Ложь;
ЭлементФОТ.ПользовательскаяВидимость = Ложь;
КонецЕсли;
// Запрещаем изменять состав полей через "Изменить форму" для определенных элементов
ЭтаФорма.РазрешитьИзменятьСоставРабот = Ложь;
КонецЕсли;
КонецПроцедуры
Использование свойства ПользовательскаяВидимость в коде выше критически важно, так как оно перекрывает настройки, которые пользователь мог сделать ранее самостоятельно.
Если вы предпочитаете путь настройки прав, разберем по шагам, что нужно проверить в Конфигураторе:
ПозицииШтатногоРасписания.ФОТ, ТарифнаяСтавка и им подобных снята галочка Просмотр.Устанавливать права для реквизитов по умолчанию. Если оно включено, то любые новые реквизиты, добавленные фирмой «1С» в обновлениях, будут автоматически видны кадровику. Лучше это свойство отключать и настраивать права на каждый реквизит вручную.Однако помните, что при обновлении конфигурации ваши изменения в типовых ролях могут быть затерты. Поэтому создание собственной роли и добавление её в профиль является более предпочтительным вариантом.
В последних релизах ЗУП 3 (начиная с 3.1.14+) разработчики добавили дополнительные настройки. Зайдем в раздел «Настройки» — «Настройки пользователей и прав». Здесь можно попробовать включить ограничение доступа на уровне записей (RLS), однако стоит учитывать следующее:
Проанализировав ситуацию, мы видим, что проблема «видимости» зарплат кадровиками является следствием гибкости платформы «1С», которая ставит удобство настройки выше жестких ограничений. Для полноценного решения задачи рекомендуем:
1. Использовать расширение для скрытия колонок в списках. Это гарантирует, что даже при наличии прав на уровне метаданных, пользователь не увидит колонку визуально.
2. Тщательно проверить, не назначены ли кадровику лишние роли, например АудитСостоянияСистемы или роли для работы с универсальными отчетами, которые могут давать «невидимый» доступ к регистрам сведений с суммами.
3. Помнить о юридическом аспекте: кадровик по долгу службы работает с оригиналами трудовых договоров и приказов, где оклады прописаны явно. Если политика компании требует полной изоляции этих данных в учетной системе, штатных средств «из коробки» может быть недостаточно без дополнительного программирования.