Как настроить сертификаты обмена с СФР (ФСС) в 1С:ЗУП и решить проблему безопасности подписи директора?

← На главную

При переходе на работу с электронными листками нетрудоспособности (ЭЛН) в программе 1С:Зарплата и Управление Персоналом (1С:ЗУП) многие компании сталкиваются с серьезной организационной и технической проблемой. С одной стороны, отправлять запросы в фонд и получать данные по больничным должны обычные пользователи — кадровики и расчетчики (которых в крупных организациях может быть десятки человек). С другой стороны, эти запросы требуют подписания квалифицированной электронной подписью (КЭП). Часто в компаниях существует только одна подпись — генерального директора или главного бухгалтера, которую категорически запрещено передавать рядовым сотрудникам из соображений безопасности.

В этой статье мы подробно разберем, как устроен механизм шифрования и подписания при обмене с Социальным фондом России (бывший ФСС), почему простое копирование сертификата не решит проблему, как правильно настроить рабочие места и как современное законодательство (МЧД и подписи физических лиц) позволяет полностью обезопасить подпись руководства.

Техническая суть проблемы: почему просто скопировать файл сертификата недостаточно?

Разберем типичную ошибку, которую часто совершают начинающие администраторы и кадровики. Пытаясь настроить рабочее место сотрудника, они экспортируют из системы «Контур» или «СБИС» файл сертификата руководителя (с расширением .cer) и устанавливают его на компьютер кадровика. При попытке получить ЭЛН программа выдает ошибку: «Не удалось подписать файл запроса ЭЛН!».

Выясним причину этой ошибки. Электронная подпись состоит из двух частей:

Открытый ключ (сертификат) — это публичный файл (тот самый .cer), который содержит информацию о владельце и используется для шифрования отправляемых ему данных или для проверки подлинности его подписи. Его можно свободно копировать и передавать.
Закрытый ключ (контейнер) — это секретная часть подписи, которая хранится на защищенном носителе (токене типа Рутокен/Етокен) или в реестре компьютера. Именно с помощью закрытого ключа происходит процедура подписания файла.

Для того чтобы кадровик мог отправить запрос в СФР, программа должна именно подписать файл запроса закрытым ключом. Если на компьютере пользователя установлен только открытый сертификат без секретного контейнера, подписать запрос физически невозможно. Перенос же самого контейнера (закрытого ключа) на компьютеры всех сотрудников означает, что подпись директора «пойдет по рукам», и сотрудники теоретически смогут подписать ею любой другой документ, включая банковские или налоговые формы. Это недопустимо.

Современное решение: КЭП физического лица и Машиночитаемая доверенность (МЧД)

С развитием законодательства об электронной подписи (ФЗ № 63-ФЗ) и переходом на СЭДО (Систему электронного документооборота СФР) проблема «подписи директора по рукам» была решена на государственном уровне. Рассмотрим, как выглядит современный и безопасный алгоритм работы кадровой службы:

Выпуск КЭП на сотрудника как на физическое лицо. Каждый кадровик или расчетчик, работающий с ЭЛН, получает в любом аккредитованном Удостоверяющем центре личную электронную подпись. В этой подписи указаны только его личные данные (ФИО, СНИЛС, ИНН физлица), в ней нет реквизитов организации. Данная подпись принадлежит лично человеку и не может быть использована от имени компании без специального разрешения.
Оформление Машиночитаемой доверенности (МЧД СФР). Руководитель организации прямо из программы 1С:ЗУП создает электронную доверенность, в которой указывает, какие именно полномочия (например, работа с ЭЛН, проактивными выплатами и отчетностью в СФР) делегируются конкретному сотруднику. Доверенность подписывается КЭП директора и отправляется на регистрацию в СФР.
Безопасный обмен. При отправке запроса на получение ЭЛН программа 1С подписывает файл личной КЭП кадровика и прикладывает к запросу номер зарегистрированной МЧД. Шлюз СФР принимает запрос, проверяет по своей базе МЧД полномочия сотрудника и возвращает данные. Подпись директора при этом надежно хранится у самого директора.

Пошаговая настройка рабочих мест для обмена с СФР (ФСС)

Проанализируем шаги, которые необходимо выполнить системному администратору для настройки обмена, если используется локальная настройка криптографии (без использования встроенного сервиса «1С-Отчетность»).

Шаг 1. Настройка криптопровайдера

На каждом компьютере, где планируется подписание запросов, должен быть установлен криптопровайдер — специализированная программа для работы с шифрованием. Самыми популярными являются КриптоПро CSP (платная лицензия) и ViPNet CSP (бесплатная программа).

Важное предупреждение: категорически не рекомендуется устанавливать КриптоПро CSP и ViPNet CSP на один и тот же компьютер одновременно. Это вызывает конфликт системных драйверов шифрования, что приводит к критическим ошибкам Windows (синим экранам смерти BSOD) и полной неработоспособности криптографии в 1С. Выберите один криптопровайдер для всей организации или, как минимум, для конкретного рабочего места.

Шаг 2. Установка сертификатов СФР (ФСС)

Для успешного шифрования данных при отправке в СФР на компьютере пользователя должны быть установлены актуальные технологические сертификаты самого фонда. Их необходимо скачать с официального сайта СФР и установить в соответствующие хранилища Windows (через утилиту certmgr.msc или настройки криптопровайдера):

Сертификаты головного и промежуточных удостоверяющих центров — устанавливаются в папку «Доверенные корневые сертификаты» и «Промежуточные центры сертификации».
Технологические сертификаты СФР для шифрования ЭЛН и СЭДО — устанавливаются в папку «Другие пользователи».

Шаг 3. Установка личного сертификата сотрудника

Личный сертификат сотрудника (полученный им как физлицом или, в переходный период, как сотрудником организации) устанавливается через криптопровайдер с обязательной привязкой к закрытому ключу (контейнеру) в локальное хранилище «Личные» текущего пользователя Windows. Только после этого программа 1С сможет увидеть данный сертификат для выбора в настройках.

Шаг 4. Настройка программы 1С:ЗУП

Перейдем непосредственно в программу 1С для финальной привязки сертификатов. Разберем по шагам, где производятся настройки:

Откроем карточку организации в справочнике Организации.
Перейдем на вкладку ЭДО (Электронный документооборот).
Найдем раздел Настройки обмена с ФСС (СФР).
Укажем установленный личный сертификат сотрудника (или сертификат организации, если используется единый ключ) в поле сертификата подписи отправителя.
Укажем соответствующие технологические сертификаты СФР в полях шифрования.

Если в компании используется сервис «1С-Отчетность» (даже бесплатный промо-тариф для СФР), ручная установка сертификатов фонда не требуется — программа будет автоматически скачивать и обновлять их по мере необходимости.

Программная проверка работоспособности криптографии в 1С

Для понимания того, как платформа 1С взаимодействует с установленными криптопровайдерами, приведем пример кода, который разработчик или администратор может запустить во внешней обработке для проверки доступности криптографических методов на рабочем столе пользователя:


Процедура ПроверитьДоступностьКриптографии() Экспорт
    
    #Если Клиент Тогда
        Попытка
            // Пытаемся инициализировать менеджер криптографии платформы
            МенеджерКриптографии = Новый МенеджерКриптографии("", "", 80);
            Сообщить("Менеджер криптографии успешно инициализирован.");
            
            // Получаем список доступных сертификатов в хранилище "Личные"
            СписокСертификатов = МенеджерКриптографии.ПолучитьСертификатыИзХранилища(РежимВыбораСертификатов.Личные);
            Если СписокСертификатов.Количество() = 0 Тогда
                Предупреждение("В хранилище 'Личные' не найдено установленных сертификатов!");
            Иначе
                Для Каждого ТекущийСертификат Из СписокСертификатов Цикл
                    Сообщить("Найден сертификат: " + ТекущийСертификат.Субъект + " Действителен до: " + ТекущийСертификат.ДатаОкончания);
                КонецЦикла;
            КонецЕсли;
        Исключение
            ВызватьИсключение "Ошибка работы с криптографией: " + ОписаниеОшибки();
        КонецПопытки;
    #КонецЕсли

КонецПроцедуры

Этот простой алгоритм позволяет быстро локализовать проблему: если 1С выдает ошибку при инициализации МенеджераКриптографии, проблема кроется в некорректной установке самого криптопровайдера (например, отсутствует лицензия КриптоПро CSP или повреждены системные библиотеки).

Резюме и рекомендации

Подводя итоги, сформулируем основные правила организации безопасного и стабильного обмена ЭЛН в компании:

Не передавайте закрытый ключ директора сотрудникам. Это грубое нарушение безопасности информации, которое может привести к подписанию нежелательных документов от лица компании.
Используйте связку КЭП физического лица + МЧД. Это современный стандарт работы, поддерживаемый СФР и полностью реализованный в последних релизах 1С:ЗУП 3.1.
Контролируйте совместимость ПО. Никогда не устанавливайте совместно КриптоПро CSP и ViPNet CSP. При смене криптопровайдера обязательно деинсталлируйте старый с перезагрузкой компьютера.
Используйте автоматизацию СЭДО. Современный проактивный режим работы СФР позволяет программе 1С автоматически подгружать новые ЭЛН в виде push-уведомлений, существенно снижая нагрузку на сотрудников кадровой службы.