Настройка прав доступа в 1С:Документооборот 3.0 (далее — ДО) играет ключевую роль в обеспечении информационной безопасности и защиты конфиденциальных данных. Грамотно настроенные права пользователей позволяют ограничить или предоставить доступ к функциям и информации системы в соответствии с их ролями.

Версия ДО 3.0 значительно изменила подход к управлению правами, сделав процесс настройки проще и более автоматизированным. 

Ранее многие действия выполнялись вручную, теперь система может автоматически определять уровень доступа пользователей к документам, исходя из их роли в процессах, проектах, задачах и других сущностях.

• Политики доступа в прежнем виде больше не используются.

• Настройка прав доступа к документам через папки исключена. Учет отражения документов по папкам включается опционально при необходимости и не влияет на права доступа.

• Автоматизация достигла нового уровня: система самостоятельно назначает права на просмотр и редактирование документов тем, кто участвует в процессах, проектах, мероприятиях и других действиях, связанных с этими документами.

Перед началом работы в системе 1С:ДО необходимо выполнить настройку разграничения прав в системе.

Необходимо перейти в общие настройки (выполняется администратором системы с выделенной ролью) 

Перейти в раздел настроек прав доступа «Права доступа»

Если ограничение прав доступа необходимо, то в настройках достаточно включить флаг «Ограничивать права доступа».

Затем останется только запустить обновление прав, ответив «да» в заданном программой вопросе.

«Отложенное обновление прав» — эта настройка, позволяющая программе найти обновления прав того в очереди того же вида, при расчете и обновить их за один вызов.

Настройка — «Отложенное обновление прав» при расчете прав по дескриптору, поможет программе обнаружить в очереди дескрипторы того же вида и обновить их права за один вызов. Важно, не забыть скорректировать максимальный размер порции при обработке очереди, по умолчанию выставлено значение — 100.

Настройка — «Добавлять руководителям доступ подчиненных» отвечает за автоматическое предоставление доступа руководителю к документам подчиненных сотрудников.

Настройка «Локальные администраторы» отвечает за обозначение группы пользователей, которым можно делегировать часть административных полномочий, не давая им полный доступ, как у глобального администратора. Разрез доступа по объектам выдается по гиперссылке «Используемые разрезы доступа». Не рекомендуется указывать излишние разрезы доступа.

Полномочия — готовые наборы ролей, которые определяют, к каким данным и функциям у вас есть доступ.

Работать с ними можно как в заданных настройках, так и изменить для необходимых потребностей.

Из чего состоит полномочие:

• Из заданной (разрешенной) роли, которая участвует в этом профиле. Настраиваются и отмечаются галочкой.

• Списка, кому они выданы.

Полномочия настраиваются в разделе:
Настройки – Полномочия

Также доступны из карточек:

• Сотрудника;

• Подразделения;

• Рабочей группы

Назначить полномочия можно несколькими способами:

• Через карточку сотрудника

1. Откройте карточку сотрудника – группы и полномочия

   2. Выберите необходимое полномочие

   3. Сохраните по кнопке «Готово»

• Через рабочую группу

1. Откройте карточку рабочей группы - Полномочия

    2. Установите галочку у необходимого полномочия и сохраните результат по            кнопке «Готово»

В программе, по умолчанию, можно создать документ любого вида и разной тематики любому сотруднику организации.

Но система предусматривает и ограничение на создание документов.

Для этого в настройке «кому разрешено», нужно лишь указать пользователя, роль или подразделение, кому разрешено создать документ конкретного вида. Или указать какой тематики документы доступны для создания.

Вкладка «Тематики» укажет разрешения, которые уже имеются в системе.

Неразрешенные для создания документа виды и тематики отобразятся для сотрудника серым цветом, если изменения вводятся вручную.

В шаблонах недоступные виды и тематики не отображаются.

Также в настройках вида документа можно для каждого шаблона указать права на доступ к конкретному документу по умолчанию. Для этого в шаблоне документа нужно заполнить закладку Доступ.

Отметим, что в конкретном документе данного вида закладка доступ может иметь и другой вид – добавятся пользователи «по касанию», возможно, добавят кого-то вручную.

Чтобы указать можно ли добавлять пользователей «по касанию» или нет используется настройка шаблона вида документа «Запретить автоматическое расширение доступа». 

По умолчанию доступ к документам выдается автоматически по «касанию» (т.е. флаг «Запретить автоматическое расширение доступа» в настройках шаблонов видов документов снят).

Посмотреть, а также добавить или исключить участников в списке тех, кому даны права на конкретный документ, можно в карточке конкретного документа на вкладке «Доступ». 

Пример с карточки документа предприятия:

Еще раз повторим, что сюда могут попадать данные

• из настройки шаблона вида документа,

• «по касанию».

• вручную.

Но это не закрытый список тех, кто имеет доступ к документу. Если необходимо посмотреть всех, кто имеет доступ, то нужно воспользоваться кнопкой Еще - Документ - Права документа.

В этом списке уже будет отражаться полный перечень сотрудников, имеющих доступ к документу, с указанием их прав.

Заполнение закладки «Дескрипторы» описано в соответствующем разделе.

Рабочие группы отображаются в разделе «НСИ»-«Рабочие группы». Чтобы создать новую группу, нажмите кнопку «Создать» на панели действий. Затем заполните карточку: введите название, укажите родительскую группу (если есть) и добавьте участников.

Карточка создания новой рабочей группы:

Рабочие группы можно создавать по разным принципам: по структуре подразделений или по функционалу.

Группы могут иметь иерархическую структуру: участники дочерних групп автоматически становятся частью родительских. Один и тот же сотрудник может быть членом сразу нескольких групп, например, «Руководители проектов» и «Все пользователи».

• Автоматическое наполнение

Рабочая группа может формироваться автоматически на основе связей пользователей в системе (например, по задачам, проектам, мероприятиям или ролям, таким как автор или ответственный).

Пример такой рабочей группы (система автоматически собирает в рабочую группу всех руководителей подразделений)

• Синхронизация доступа к связанным объектам

Можно настроить, чтобы объекты, связанные между собой (например, документ и мероприятие, проект и его документы), наследовали или копировали состав рабочей группы или расширяли его. 

Синхронизация доступа регулируется настройкой связи. К выбору доступны 3 варианта:

• Не синхронизировать (доступ на связанный документ не распространяется)

• Копировать (копируются настройки доступа на связанный документ)

• Расширять (настройки доступа связанного документа расширяются)

• Виды объектов, к которым применяются рабочие группы

Рабочие группы используются для документов, мероприятий, проектов и других объектов, где требуется разграничение доступа.

Гриф доступа — это специальная метка, присваиваемая документу, которая определяет, кто может видеть, редактировать или удалять этот документ.

Примеры грифов:

• Общий

• Коммерческая тайна

• Для ИТ

Как работает механизм грифов доступа:

• Каждый гриф доступа содержит список пользователей, ролей, подразделений или групп, которым разрешено работать с документами, помеченными этим грифом.

• Если у документа установлен гриф доступа, то пользователи, не имеющие прав на этот гриф не смогут открыть или даже увидеть этот документ.

• Один документ = один гриф.

• Гриф можно установить вручную, либо задать по умолчанию в настройке вида документа, чтобы он проставлялся автоматически.

Как настраиваются грифы доступа:

1. Перейдите в раздел Настройка - Грифы доступа.

2. Нажмите Создать.

3. Укажите:

1. Название грифа 

2. Перечень пользователей, ролей, подразделений, которым доступен документ с этим грифом.

Пример

   4. Сохраните гриф по кнопке «Записать и закрыть»

Локальные администраторы – сотрудники, которые имеют права на документ, независимо от того указаны они на закладке «Доступ» конкретного документа или нет.

Настройками доступа «Локального администратора» можно управлять, если пройти в раздел «Настройка» в панели навигации (либо как описывали выше из настроек программы)

Здесь для трех объектов (документы, мероприятия, проекты) можно указать локальных администраторов. Для каждой записи указывается уровень доступа (чтение или изменение) и разрезы, по которым определяется доступ. 

Настройки локальных администраторов «суммируются» – если сотрудник попадает под действие нескольких настроек локальных администраторов, и хотя бы одна настройка дает ему доступ к документу, то данный сотрудник получает доступ к этому документу.

Права на задачи и процессы программа определяет автоматически.

На чтение задачи имеет право автор, руководитель и исполнители, но изменить ее может только автор. Исполнители могут только выполнять задачу.

Доступ к задаче можно просмотреть, перейдя с формы задачи по кнопке «Еще – Права доступа»

Система автоматически определяет права по мероприятиям.

Механизм выдачи прав:

Вкладка «Доступ» определит список сотрудников, подразделений и ролей с правом просмотра/изменения мероприятия и по нему ограничит к нему доступ. Заполнение возможно автоматически, но допустимы и изменения «вручную».

В системе предусмотрена функция передачи права пользователя от основного сотрудника к «Замещающему» его, с сохранением всех прав и выполнения действий.

Настроить данный функционал можно в разделе «Совместная работа» — «Замещающие/Помощники».

Заполнение реквизитов:

• В разделе «Сотрудник» указывают пользователя, чьи права передаются или делегируются;
• В разделе «Помощник/Заместитель» указывается сотрудник, который эти права получит;
• Указать полный период времени, на который предоставляются права;
• Указываются функции и область, где эти права будут осуществляться;

Аналогичный функционал доступен при создании Отсутствия, чтобы сразу можно было указать сотрудников, замещающих отсутствующего.

Помимо этого в карточке сотрудника на закладке «Замещающие и помощники» можно увидеть всех назначенных для данного сотрудника замещающих и помощников.

Это механизм разграничения доступа к полям, действиям и реквизитам документа (или другого объекта), в зависимости от того, в каком состоянии сейчас находится документ (т.е. какие этапы обработки он прошел). Например:

• В состоянии «Проект» все поля доступны для редактирования;

• После согласования (другое состояние) часть полей становится доступна только для чтения;

• Некоторые команды могут быть недоступны в определённых состояниях.

Цель — обеспечить, чтобы пользователи не могли менять содержимое или выполнять действия, которые в данном статусе документа уже не разрешены.

Включение данной функциональной опции производится через настройки программы:

Далее производятся сами настройки:

Настройки, которые есть в справочнике по умолчанию, определяет доступность полей для каждого типа документа: общие для всех пользователей и для делопроизводителей. Рекомендуем создавать отдельные настройки для каждого вида документов для удобной поддержки работы базы в будущем.

Состояние документа, конкретно виды действий по документу, содержатся в таблице «Доступность полей».

1. Если в ячейке поля установлено значение — «да», то доступ к полю/команде разрешен, если не запрещен для другого состояния.
2. Если значение установлено — «нет», то доступ запрещен, независимо от других состояний документа.
3. Значение «пусто» — говорит, что ячейка не имеет ни запрета, ни разрешения. Участие в вычислении итогового разрешения доступа не принимает.

У документа возможно одновременно несколько состояний. В этом случае, поле карточки документа доступно, при условии имеющегося хотя бы одного разрешения («да») и отсутствия запрета («нет»).

Это значит, что поле доступно хотя бы для одного из состояний документа и ни для одного состояния не отмечено как недоступное.

У Документа, в состоянии «Проект» можно редактировать все поля. Но если документ имеет и другие состояния, то для состояния «Проект» настройки доступности уже не учитываются, потому что в конечном состоянии документа все поля станут доступны.

Для отражения списка сотрудников, на кого распространяется данная настройка, используется закладка «Сотрудники». Причем, это могут быть не только элементы справочника Сотрудники, но и группа доступа, роль, подразделение, участники проекта и тд.

Произвести привязку настроек к виду документа возможно в закладке «Виды документов». Можно выбрать вариант «Применять для всех видов документов» или «Применять к выбранным видам документов». Во втором случае можно перечислить конкретные виды документов, на которые распространяется данная настройка.

Для широкого изменения доступа к документам, проектам и другим объектам, применяется «Обработка группового изменения доступа»: раздел «Настройка» — «Сервис» — «Изменение списков доступа объектов».

Пример с отбором:

Доступные действия «Обработки группового изменения доступа» — «добавить» и «удалить доступ».

Дескриптор доступа — это объекты, которые включают в себя поля. От них зависит доступ, с точно такими же ключевыми полями, в объектах данных.

Права рассчитываются не для каждого объекта данных, а для дескриптора доступа: форма «Права доступа» — вкладка «Дескрипторы».

В них отображается рассчитанные по документу дескрипторы, с помощью которых администратор может легко анализировать права доступа к любому объекту.

Гиперссылка откроет карточку дескриптора, в которых указано как эти права рассчитаны и в каком виде эти дескрипторы еще используются.

На закладке «Дескриптор» есть поля, которые воздействуют на расчет прав.

Например, поля «Хеш-сумма» и «Уникальный идентификатор» необходимы для отличая дескрипторов друг от друга, а также, заметить смену дескриптора доступа объекта.

Права доступа для этого дескриптора указаны на закладке «Права доступа».

Закладка «Объекты» содержит список объектов, которые применяют этот дескриптор доступа

Создание дескриптора происходит автоматически и содержит в себе ключевые поля, с помощью которых настраивается доступ не для каждого объекта, а на совокупность ключевых полей, которые создают право доступа.

Выбрав в настройках «Управление расчетом прав», вы сможете управлять правами доступа из этого окна.

Команда «Открыть очередь» сразу покажет список очереди обновления.

Вам станут доступны отчеты:

• Дескрипторы доступа. Отчет отследит правильный расчет прав; удалит дескрипторы доступа, которые больше не используются;
• Динамика очереди. Отчет даст информацию о точном количестве элементов в очередях.
• Отчет об информационной базе. Вы увидите сколько записей содержат документы и справочники;
• Отчет очереди, который информирует вас о составе очереди, количестве ее элементов в данный момент;