Очень часто перед системными администраторами и руководителями встает задача: предоставить сотрудникам доступ к общей папке на сервере (например, под управлением ОС Windows Server) для работы с документами или файловой базой 1С, но при этом гарантированно защитить информацию от кражи. Пользователи должны иметь возможность читать файлы или работать в базе, но не должны иметь возможности скопировать их на личную флешку, отправить по почте или унести домой.
Рассмотрим эту проблему подробнее и разберем по шагам, почему классический подход с настройкой прав доступа не работает, и какие комплексные меры мы можем применить для реальной защиты коммерческой тайны.
Проанализируем ситуацию с точки зрения работы операционной системы. Главное правило, которое нужно усвоить: на уровне файловой системы чтение равно копированию. Если вы даете пользователю права на чтение файла (чтобы он мог открыть его в Word, Excel или другом приложении), операционная система по сети передает содержимое этого файла в оперативную память компьютера пользователя. Как только данные оказались на рабочей станции сотрудника, он может нажать кнопку "Сохранить как", выделить текст и скопировать его в другой файл, либо просто перетащить файл в другую папку.
Особенно остро эта проблема стоит при работе с файловыми базами 1С. Выясним причину: для нормальной работы файловой базы 1С (когда база представляет собой файл 1Cv8.1CD в общей папке) пользователю требуются полные права на чтение и запись в эту директорию. Иначе платформа просто не сможет создавать временные файлы и вносить изменения в базу. Следовательно, если у пользователя есть полный доступ к папке, скопировать всю базу целиком не составит никакого труда.
Посмотрим на практические архитектурные решения, которые полностью исключают возможность кражи файла базы данных рядовыми сотрудниками. Разберем два основных варианта:
MS SQL Server или PostgreSQL), а обработкой данных занимается сервер 1С:Предприятия. В такой схеме пользователям вообще не нужны права на доступ к каким-либо папкам. Клиентское приложение 1С просто общается с сервером 1С, получая только ту информацию, которая нужна для отображения на экране. Скопировать базу целиком становится технически невозможно.Если специфика работы требует предоставления доступа к файлам (Word, Excel), лучшей практикой является использование терминального сервера. Сотрудники подключаются к серверу через RDP, работают с документами там, а на их локальные мониторы передается только картинка. Но сам по себе RDP не панацея, его нужно правильно настроить. Проанализируем настройки групповых политик (GPO), которые необходимо применить:
C:.Ctrl+C и вставить текст в документ на своем локальном ПК.Если пользователи работают на локальных ПК, необходимо жестко контролировать использование USB-носителей. Рассмотрим варианты, как мы можем это сделать:
.inf файлы, отвечающие за монтирование новых флешек. Однако этот метод не всегда удобен для администрирования.Когда базовые административные меры исчерпаны, но руководство требует максимальной безопасности, нам на помощь приходят специализированные системы.
Внедрение DLP-систем (Data Loss Prevention)
Эти системы работают на уровне перехвата трафика и контроля действий пользователя. DLP-агент, установленный на ПК, анализирует содержимое отправляемых писем, сообщения в мессенджерах (Telegram, WhatsApp) и загрузку файлов в браузер. Если система видит, что документ содержит конфиденциальную информацию (например, финансовый отчет или базу клиентов), она блокирует передачу и уведомляет службу безопасности.
Технологии управления правами (IRM / AD RMS)
Технология от Microsoft (Active Directory Rights Management Services) позволяет зашифровать сам файл. Рассмотрим алгоритм ее работы: даже если сотрудник обошел запрет USB, скопировал файл Excel из общей папки и принес домой, открыть он его не сможет. При двойном клике файл обратится к серверу авторизации (который недоступен из дома) и не расшифрует содержимое. Более того, для таких файлов можно принудительно отключить кнопки "Печать" и "Копировать текст" внутри самих приложений MS Office.
Защита от фотографирования на смартфон
Одним из самых сложных каналов утечки является банальная фотография экрана на телефон. Никакие блокировки портов здесь не помогут. Для решения этой проблемы мы можем использовать системы экранных водяных знаков. Поверх всех окон в операционной системе (или только поверх 1С) выводится полупрозрачный текст: логин пользователя, IP-адрес компьютера и точное время. Это не мешает работе, но если фотография экрана окажется у конкурентов, вы безошибочно определите, с чьего рабочего места произошла утечка.
И напоследок, важный пункт — сетевая безопасность. Зачем злоумышленнику использовать флешку, если он может выгрузить данные на файлообменник? Проанализируем топологию сети: рабочие станции, имеющие доступ к критически важным общим папкам или базам данных, должны быть максимально ограничены в доступе к интернету.
Мы можем реализовать это на корпоративном шлюзе (файрволе), создав "белый список" сайтов. Пользователь сможет посещать только рабочие ресурсы (например, сайт банка или налоговой), а все остальные адреса, включая почтовые сервисы, облачные диски и мессенджеры, будут заблокированы.
Применяя эти методы в комплексе, мы сможем создать надежную и безопасную среду, где данные доступны сотрудникам для работы, но надежно защищены от несанкционированного копирования и выноса за пределы компании.