При ведении учета в 1С:Зарплата и Управление Персоналом 3.1 КОРП крупные компании часто сталкиваются со специфической проблемой настройки прав доступа. Когда структура организации включает в себя головную организацию и несколько обособленных филиалов на отдельных балансах, стандартное ограничение по справочнику Организации может работать не совсем так, как ожидает бизнес-заказчик. Разберем типичную ситуацию: кадровику филиала нужно создать карточку сотрудника. Система требует указать головную организацию для этого филиала, но если мы даем права на головную организацию, кадровик автоматически получает доступ к данным сотрудников этой организации, что является нарушением политики конфиденциальности. В этой статье мы подробно рассмотрим, как правильно настроить RLS (Record Level Security) для решения этой задачи.
Выясним причину, по которой обычное ограничение по организациям не приносит желаемого результата. В системе 1С при создании сотрудника в филиале реквизит Головная организация заполняется автоматически на основании данных справочника Организации. Для корректной записи объекта пользователю необходимы права на чтение этой головной организации. Однако в архитектуре ЗУП доступ к объекту «Организация» часто неявно открывает доступ ко всем документам и справочникам, связанным с этим владельцем.
Рассмотрим ситуацию, когда кадровик Филиала №1 пытается зайти в список сотрудников. Если у него есть доступ к «Головной организации», он увидит в списке не только своих работников, но и руководство компании, расчетчиков и других сотрудников ГО. Наша задача — обеспечить видимость самой «карточки» организации для связи в базе, но полностью скрыть персональные данные людей, к ней относящихся.
Проанализируем наиболее эффективный способ изоляции данных в ЗУП КОРП — использование групп доступа физических лиц. Это «третий слой» защиты, который работает независимо от того, к какой организации приписан сотрудник. Разберем этот метод по шагам:
Группы доступа физических лиц соответствующие записи: «Группа Филиал 1», «Группа Филиал 2», «Группа Головная организация».Результат: Теперь, даже если у кадровика есть доступ к объекту Организация «Головная организация», он не увидит ни одного сотрудника, привязанного к ней, так как их физические лица входят в запрещенную для него группу доступа. Список сотрудников и отчеты по зарплате будут пустыми по всем лицам, кроме «своих».
Посмотрим на альтернативный или дополняющий подход, который особенно актуален для версии КОРП. В отличие от версии ПРОФ, здесь ограничение по подразделениям работает более глубоко и затрагивает не только штатное расписание, но и видимость документов. Рассмотрим алгоритм настройки:
В настройках прав доступа установим следующие правила:
Проанализируем ситуацию: когда пользователь открывает список документов Прием на работу, система проверяет соответствие подразделения в документе разрешенным подразделениям пользователя. Даже если организация в документе указана как «Головная», но подразделение не входит в список разрешенных, документ будет скрыт. Это создает надежный барьер на уровне кадрового учета.
В крупных структурах с тысячами сотрудников ручное назначение групп доступа физическим лицам превращается в трудоемкий процесс с высоким риском ошибок. Разберем, как автоматизировать этот процесс в версии КОРП. Система позволяет настраивать автоматическое включение в группы доступа по определенным критериям.
Для реализации автоматизации можно использовать небольшое расширение или настроить типовой механизм профилей. Например, можно задать условие, что если физлицо имеет действующий трудовой договор в организации «Филиал №1», оно автоматически попадает в группу доступа «Филиал 1». Это исключает «человеческий фактор», когда новый сотрудник головной организации на мгновение становится виден всем кадровикам из-за того, что администратор еще не успел проставить ему группу доступа.
Некоторые специалисты предлагают создать фиктивную «Управляющую компанию» (виртуальную ГО), сделать её головной для всех, а реальную головную организацию превратить в филиал. Рассмотрим, почему мы не рекомендуем этот путь:
ЕФС-1, 6-НДФЛ и других форм, где важна соподчиненность филиалов и их регистрация в ИФНС.Подведем итог нашему исследованию. Для корректной изоляции данных филиалов в 1С:ЗУП 3.1 КОРП мы рекомендуем использовать «трехслойную» модель безопасности:
Слой 1: Организации. Даем доступ к филиалу и минимально необходимый доступ к головной организации (только на чтение).
Слой 2: Подразделения. Жестко ограничиваем видимость структуры только подразделениями конкретного филиала.
Слой 3: Физические лица. Используем группы доступа физлиц как финальный и самый надежный инструмент скрытия персональных данных и расчетов по зарплате.
Посмотрим на пример настройки профиля группы доступа:
Вид доступа: Организации
Значения: Филиал №1 (Чтение и запись), Головная организация (Только чтение)
Вид доступа: Подразделения
Значения: Все подразделения Филиала №1 (Иерархия)
Вид доступа: Физические лица
Значения: Группа доступа "Сотрудники Филиала №1"
Такая комбинация настроек обеспечит кадровику комфортную работу: он сможет выбирать головную организацию в карточках, но никогда не увидит лишних данных, которые не относятся к его зоне ответственности. Помните, что после изменения настроек RLS рекомендуется выполнить обновление прав доступа в разделе Обслуживание — Управление доступом, чтобы изменения вступили в силу для всех существующих записей в базе данных.