Захист бухгалтерії та офісу

Захист бухгалтерії та офісу: з чого почати

Бухгалтер відкриває рахунок із пошти, а за кілька хвилин хтось уже керує його комп’ютером. Якщо на цьому ж пристрої є клієнт-банк, ключі та збережені паролі, під загрозою опиняються одразу кілька систем. Тому захист будуємо навколо робочого процесу: хто входить, які програми запускає, що може підписати та як відновити роботу.

1. Ізолюйте пристрій. Від’єднайте Ethernet і Wi-Fi. Не вводьте на ньому нових паролів і не підключайте нові ключі.
2. Повідомте відповідального з іншого пристрою. Зафіксуйте час, видимі повідомлення та підозрілу операцію. Якщо під загрозою платежі — одразу зв’яжіться з банком через перевірений канал.
3. Збережіть докази. До видалення програм і перевстановлення системи фахівець має зібрати потрібні журнали та образ диска. Якщо шифрування триває або ізоляція неможлива, пріоритет — зупинити шкоду; рішення про вимкнення узгодьте з фахівцем.
4. Відновіть контроль над доступами. Із чистого пристрою змініть скомпрометовані паролі, відкличте сесії й токени, перевірте методи MFA. Самої зміни пароля може бути недостатньо.

Порядок ізоляції та відновлення доступів: Canadian Centre for Cyber Security. Чисте перевстановлення після збереження доказів і перевірка перед поверненням у мережу надійніші за видалення лише однієї знайденої програми.

Робочі місця: пріоритет бухгалтерії та власнику

Спочатку складіть перелік пристроїв і доступів. Для кожного запишіть користувача, роль, версію системи, облікові програми, віддалений доступ, стан захисту та резервування. Позначте окремо комп’ютери, з яких підписують документи, керують рахунками або адмініструють компанію.

• Звичайна робота — без прав адміністратора. Для встановлення програм і змін системи використовується окремий адміністративний обліковий запис. Його пароль не передають співробітникам і не вводять у підозріле вікно.
• Оновлення мають відповідального. Підтримувана Windows, браузер, офісні програми та засоби захисту оновлюються за погодженим графіком. Застаріле критичне ПЗ потребує плану заміни або ізоляції.
• Встановлення — лише з погоджених джерел. Забороніть активатори, «збірки», невідомі розширення браузера та програми від «підтримки» з листа. Ліцензія забезпечує законне використання й доступ до оновлень, але не замінює безпечних налаштувань.
• Розділіть фінансові та повсякденні задачі. Для платежів бажано виділити окреме кероване робоче місце з мінімальним набором програм. Якщо це поки неможливо, обмежте сторонні застосунки та коло користувачів такого комп’ютера.

Віддалений доступ — за обліком

RMS, AnyDesk та інші засоби підтримки можуть використовуватись законно, але ними також зловживають. Наявність програми сама по собі не доводить зараження. Потрібні погоджений список інструментів, іменні облікові записи, MFA, журнал сеансів і обмеження доступу підрядників. Непогоджений інструмент на підозрілому ПК спочатку досліджують, зберігаючи докази.

Не відкривайте RDP і бази даних безпосередньо в інтернет. Для адміністратора передбачте захищений шлюз або VPN із MFA та доступ лише до потрібних систем. Постійний неконтрольований доступ «на випадок підтримки» треба прибрати.

Ризики та принципи контролю описані в керівництві CISA щодо віддаленого доступу.

Антивірус для офісу: обираємо керований захист

Для кількох робочих місць важлива не кількість зелених значків, а єдина консоль: які комп’ютери підключені, коли оновлювалися, де вимкнений захист і хто отримав повідомлення про загрозу. Нижче — два кандидати з вихідних матеріалів для практичного порівняння. Це не рейтинг усіх рішень на ринку.

Склад продуктів звірено 13.10.2026: ESET PROTECT Advanced · GravityZone Business Security. Умови ліцензування та модулі уточнюйте в актуальній пропозиції постачальника.

Практичний вибір: встановіть один кандидат на чистий пілотний ПК, перевірте звичний робочий день і сповіщення адміністратору. Після оцінювання зафіксуйте результат, приберіть попередній антивірус за інструкцією виробника й розгорніть обране рішення. Два повноцінні антивіруси з одночасним захистом у реальному часі не є планом посилення безпеки.

Не переносіть можливості домашньої редакції, наприклад окремого банківського браузера, на корпоративний пакет без перевірки. Шифрування диска захищає дані на вимкненому або викраденому пристрої, але не зупиняє зловмисника, який уже працює в розблокованій сесії.

M.E.Doc і BAS/1С: сумісність без небезпечних винятків

Спершу визначте архітектуру: локальна чи мережева версія, сервер бази, клієнтські робочі місця, каталоги даних, фактичні порти й потрібні зовнішні ресурси. Старі інструкції для іншої версії платформи не можна автоматично застосовувати до поточного середовища.

Для M.E.Doc звірте офіційні технічні вимоги та перелік мережевих ресурсів. Вимоги самої програми не враховують усі інші застосунки на тому ж комп’ютері. Для BAS/1С потрібні документація саме вашої версії та участь її відповідального адміністратора.

Пілот перед масовим встановленням

1. Створіть узгоджену резервну копію бази штатним способом і перевірте відновлення в окремому середовищі.
2. Після встановлення захисту перевірте запуск, вхід, відкриття бази, друк, обмін документами, роботу КЕП та резервування. Не відправляйте реальний звіт або платіж лише заради тесту.
3. Зафіксуйте помилки, затримки й відповідні події в журналі антивірусу. Якщо проблему спричинив захист, узгодьте вузьке правило з підтримкою.
4. Перевірте повторно та перенесіть тільки підтверджені налаштування на аналогічні пристрої.

У документації ESET прямо показано: маска для каталогу може охопити всі вкладені файли. Наша рекомендація — починати без широких винятків і додавати мінімально потрібне лише після відтворення проблеми. Зовнішні обробки BAS/1С також мають надходити від перевіреного постачальника та погоджуватися адміністратором.

Пошта, паролі та КЕП: розділяємо доступи

Почніть із пошти, адміністративних облікових записів і користувачів, які працюють із фінансами. Увімкніть MFA, перевірте резервні способи входу та приберіть невідомі пристрої. Якщо сервіс підтримує ключі безпеки або passkeys, розгляньте їх як стійкіший до фішингу варіант. CISA рекомендує MFA насамперед для критичних і привілейованих доступів.

Що знати співробітнику

• Для кожного сервісу використовуйте окремий довгий пароль із погодженого менеджера паролів. Не зберігайте загальний файл «усі паролі» поруч із документами.
• Входьте в пошту за закладкою на адресу, яку підтвердив ваш адміністратор. Старий вебінтерфейс може не показувати налаштування MFA; це не привід залишати обліковий запис без захисту.
• Пароль застосунку створюють лише для сумісного поштового клієнта, коли цього вимагає сервіс. Це окремий секрет: він зазвичай дає клієнту доступ без повторного запиту другого фактора. Використовуйте сучасну авторизацію, коли вона доступна; непотрібні паролі застосунків відкликайте.
• Не підтверджуйте чужі запити входу і не повідомляйте коди «адміністратору». Раптовий запит MFA без вашої спроби входу — привід повідомити відповідального.

Ключі та фінансові операції

Особистий ключ і пароль до нього не повинні зберігатися разом або пересилатися в чаті. Для КЕП розгляньте захищений носій із неекспортованим ключем, сумісний із вашим надавачем і програмами. Звичайна флешка з файлом ключа таким носієм не є. Токен не робить заражений комп’ютер безпечним: підписання все одно потребує контролю.

При підозрі на копіювання ключа зверніться до свого кваліфікованого надавача для блокування або скасування сертифіката. Зміна пароля до локальної копії не анулює викрадену копію. КНЕДП ДП «УСС» пояснює дії при компрометації ключа. Новий ключ створюйте в довіреному середовищі.

Правило для платежів: нові реквізити підтверджуються за відомим номером контрагента, а не відповіддю на той самий лист. Якщо банк підтримує — налаштуйте двох незалежних підписантів, ліміти та сповіщення. Погоджений порядок має охоплювати і термінові платежі: слово «терміново» не скасовує перевірку отримувача.

Резервні копії, які можна відновити

Синхронізована папка або диск, постійно доступний із бухгалтерського ПК, може постраждати разом із ним. План резервування має передбачати окремі права доступу та копію, яку звичайний користувач не може змінити чи видалити.

• Визначте допустиму втрату даних. Наприклад, якщо втратити більше одного робочого дня неприйнятно, копіювання раз на тиждень не підходить. Частоту погоджують із власником процесу.
• Копіюйте бази узгоджено. Використовуйте штатні механізми програми або СУБД. Просте копіювання файлів відкритої бази не гарантує придатного архіву.
• Відокремте одну копію. Передбачте офлайн-копію або незмінне сховище, окремі облікові дані та обмеження видалення. Періодично перевіряйте, чи справді ці обмеження працюють.
• Відновлюйте на практиці. В окремому середовищі відкрийте базу, перевірте останні документи та зафіксуйте витрачений час. Повідомлення «backup successful» не замінює цього тесту.

Резервування допомагає повернути доступність даних, але не скасовує їхнього можливого викрадення. Після інциденту відновлюйте тільки перевірені дані; не повертайте автоматично старі програми, автозапуск і весь профіль браузера.

Принципи ізольованих копій, перевірки відновлення та протидії шифрувальникам: CISA #StopRansomware Guide.

Впровадження за тиждень: план для 11 комп’ютерів

Це приклад першої хвилі для невеликого офісу, а не підтверджений склад конкретної компанії. Кількість фінансових робочих місць, серверів і ліцензій уточнюють інвентаризацією. За наявності активного інциденту реагування починається негайно, незалежно від цього графіка.

Що має отримати керівник

Одну таблицю: пристрій або система → відповідальний → статус → доказ перевірки → наступна дія. Статуси «виконано», «частково» та «не виконано» корисніші за загальне «все захищено». Окремо передайте реєстр ліцензій, перелік дозволеного віддаленого доступу й результати тесту відновлення. Паролів та приватних ключів у звіті бути не повинно.

Після першого тижня призначте регулярний перегляд сповіщень, оновлень, доступів і копій. Захист працює тоді, коли на подію хтось реагує, а не лише тоді, коли ліцензія оплачена.

Відповіді на часті запитання