«Наша разработка соответствует 152-ФЗ» — эту фразу можно услышать от любого вендора КЭДО (кадрового электронного документооборота). Но соответствие закону лишь отражение, реальная безопасность складывается из архитектуры, криптографии, процессов и других составляющих. Разбираем популярные на рынке решения и выясняем, где заканчиваются стандартные формулировки и начинаются настоящие механизмы защиты.
Чем рискует бизнес, экономя на безопасности КЭДО
Сохранность данных всегда была важным пунктом в списке требований к ПО. Но сегодня значимость этого критерия растет. Причин несколько.
Кибератаки случаются чаще и становятся разрушительнее. Взлом может парализовать работу компании на дни или недели. Даже если сервисы быстро восстановят, новость об утечке данных навредит репутации: клиенты и партнеры будут помнить об инциденте долго.
Закон теперь карает строже. Штрафы за утечку персональных данных начинаются от нескольких миллионов рублей, а при повторных нарушениях могут достигать процентов от оборота компании. Платить такие суммы невыгодно никому.
Система КЭДО — это по умолчанию хранилище персональных данных сотрудников. Выбирая ее, компания становится оператором этих данных и несет за них полную ответственность.
Надежная система должна гарантировать 3 вещи:
Конфиденциальность. Данные видят только те, кому это действительно нужно.
Целостность. Документы нельзя изменить задним числом или случайно.
Доступность. Система работает всегда, когда это необходимо.
Безопасность нельзя купить отдельным модулем. Она должна быть встроена в архитектуру системы с самого начала, как фундамент в здании. Когда угрозы становятся серьезнее, этот фундамент должен быть особенно прочным.
На что смотреть? 10 критериев для проверки безопасности КЭДО
При выборе системы КЭДО важно оценить степень ее защищенности. Вот ключевые пункты, которые помогут сделать правильный выбор.
1. Архитектура
Лучше, если ПО состоит из независимых частей (микросервисов). Это дает возможность спрятать самые важные данные в максимально защищенную часть корпоративной сети, а публичные сервисы (личный кабинет) вынести в буферную зону (DMZ). Такое разделение не даст злоумышленнику, атаковавшему личный кабинет, добраться до ядра системы.
2. Шифрование
Убедитесь, что система шифрует данные при передаче по российскому стандарту TLS/ГОСТ TLS. Также хорошо, если она может шифровать сами хранящиеся документы и служебные файлы с паролями. А при отправке на подписание во внешний сервис должен передаваться не сам документ, а его цифровой «отпечаток» (хэш). Это защищает содержание от перехвата.
3. Работа в полной изоляции
Если ваша компания требует размещения систем в закрытой сети без выхода в интернет, проверьте, как в таком режиме организовано подписание документов сотрудниками. Нужно, чтобы система «умела» работать с внутренним удостоверяющим центром.
4. Независимость от иностранных технологий
Решение должно полностью работать на российском программном обеспечении и «железе». Это гарантирует, что вы не останетесь без критических обновлений безопасности из-за внешних ограничений.
6. Контроль доступа
Важно, чтобы программное обеспечение давало возможность настраивать парольные политики и гибко распределять права. Сотрудник должен видеть только свои документы и те, что нужны для работы. Еще одна обязательная функция — поддержка двухфакторной аутентификации, например пароль + код из СМС.
5. Безопасность облака (если выбран этот вариант)
Если система размещается в облаке провайдера, уточните, имеет ли он государственный аттестат на обработку персональных данных (уровень УЗ-1). Также данные разных клиентов должны быть строго изолированы друг от друга.
7. Ведение журналов и аудит
Все важные действия в системе (кто, когда и что сделал) должны записываться. Эти журналы помогут расследовать инциденты.
8. Лицензии
Проверьте, есть ли у компании-разработчика государственные лицензии ФСТЭК и ФСБ на создание средств защиты информации. Это официальное подтверждение ее экспертизы.
9. Варианты поставки
Хорошая система предлагает выбор: установить ее на свои серверы, использовать в облаке или комбинировать эти подходы.
10. Подход вендора к безопасности КЭДО
Стоит узнать, проверяет ли разработчи�� свой код на уязвимости, проводит ли регулярные проверки защиты (пентесты) и как быстро исправляет найденные проблемы. Это показывает, насколько серьезно он относится к безопасности как к процессу, а не просто к набору функций.
Какая система КЭДО безопаснее
Оценивать критерии абстрактно — полезно, но недостаточно. Важно увидеть, как эти принципы реализованы в реальных продуктах, с которыми придется работать каждый день.
Ни одна система не идеальна: где-то сильная архитектура, но сложная настройка, а где-то наоборот. Чтобы выбор был осознанным, разберем, как ключевые игроки рынка реализуют требования безопасности. Это поможет понять, чьи преимущества критичны для вашего бизнеса, а на какие недостатки можно закрыть глаза.
Directum HR Pro
Directum HR Pro — это отечественная система КЭДО, часть масштабной экосистемы Directum. Позиционируется как комплексное решение для цифровизации HR-процессов с акцентом на гибкую настройку без программирования и строгое соответствие требованиям информационной безопасности.
Преимущества:
Продуманная архитектура с сегментацией сети.
Микросервисная архитектура дает возможность выносить личный кабинет сотрудника в демилитаризованную зону (DMZ), изолируя его от ядра системы. Самые чувствительные данные защищены дополнительными рубежами обороны в виде межсетевых экранов.
Сквозное шифрование и отечественная криптография.
Система использует сертифицированную российскую криптографию (ГОСТ TLS) для защиты данных при передаче. Дополнительно можно шифровать файлы документов и конфигурационные файлы с критичными настройками (паролями к базам данных). При подписании внешнему сервису передается не сам документ, а его хэш-сумма.
Поддержка строгого контроля доступа и аудита.
Реализована гибкая ролевая модель, которая запрещает автоматическую передачу прав (например, по замещению). Ведутся детальные журналы аудита, которые можно интегрировать с корпоративными системами мониторинга (SIEM).
Варианты размещения.
Систему можно полностью развернуть в закрытом контуре (без выхода в интернет) с интеграцией локального удостоверяющего центра. При облачном размещении используются изолированные стенды у провайдеров с аттестацией по УЗ-1.
Необходимые лицензии и импортонезависимость.
Разработчик обладает лицензиями ФСТЭК на разработку средств защиты информации и ФСБ на использование криптографии. Продукт создан на отечественной технологической платформе, что соответствует требованиям импортозамещения.
Недостатки:
Партнерская криптография.
Криптографические средства, которые используются, — это не собственная разработка вендора, а партнерский продукт от КриптоПро.
Отсутствие публичной программы BugBounty.
Это сужает круг независимых исследователей безопасности, которые могли бы проактивно искать уязвимости.
HRlink
HRlink — это сервис для кадрового электронного документооборота, ориентированный на массовый рынок. Система предлагает быстрый старт, удобный интерфейс и позиционируется как коробочное решение для компаний любого размера.
Преимущества:
Регулярное тестирование на уязвимости.
Внутренняя ИБ-служба проводит проверки каждые 3 недели, а ежегодный анализ защищенности выполняет сторонняя организация, аттестованная ФСТЭК. В процессе разработки применяются современные методы (SAST, DAST, SCA, фаззинг-тесты).
Наличие on-premises-версии и схема для DMZ.
Помимо облака, продукт предлагает версию для установки на собственные серверы. Для доступа из внешних сетей можно разместить в DMZ специальный сервер (Nginx), который будет принимать входящие запросы.
Поддержка ГОСТ TLS и сертифицированных СЗИ.
Система реализует защищенные каналы связи с использованием сертифицированных средств защиты информации (СЗИ). Для облачного решения анонсирована поддержка ГОСТ TLS на базе КриптоПро CSP, для on-premises можно использовать собственные криптошлюзы (например VipNet).
Недостатки:
Отсутствие ключевых сертификатов и документации у разработчика.
Компания-разработчик (ООО «Инновации в управлении кадрами») не предоставляет лицензию ФСТЭК на разработку средств защиты информации (СЗИ). Возможно, такая лицензия отсутствует. Сертифицированной ФСТЭК версии продукта и соответствующей документации также не поставляется.
Невозможность работы в полностью закрытом контуре.
Установка в изолированную сеть без выхода в интернет не допускается, так как система требует внешних подключений к удостоверяющему центру (для ЭП), сервисам уведомлений (SMS, email) и Единому порталу Госуслуг (ЕПГУ).
Ограниченная гибкость в управлении доступом и аутентификации.
В системе нельзя создавать собственные роли, не реализованы списки запрета доступа, а в локальной версии пока отсутствует двухфакторная аутентификация (2FA) — она находится в разработке. Нет интеграции с каталогами Astra Linux Directory (ALD).
Зависимость от партнеров в части криптографии и СЗИ.
Лицензии ФСБ на использование криптографии есть не у разработчика, а у партнеров (ЦОД, УЦ, интеграторы). Конкретные меры Приказа ФСТЭК №21 по защите персданных выполняются с помощью наложенных средств.
Saby
Saby — это облачный сервис для кадрового электронного документооборота от компании «Тензор». Позиционируется как решение для компаний любого масштаба, от малого бизнеса до крупных предприятий.
Преимущества:
Наличие лицензий ФСТЭК и ФСБ у разработчика.
Компания-разработчик («Тензор») обладает лицензией ФСТЭК на деятельность по технической защите конфиденциальной информации и лицензией ФСБ России на разработку и распространение шифровальных средств.
Реализация ГОСТ TLS для защищенного соединения.
Для защиты каналов связи система использует TLS-шифрование с российскими криптографическими алгоритмами.
Интеграция с корпоративными каталогами и гибкая ролевая модель.
Реализована поддержка аутентификации через LDAP (включая совместимые решения, такие как Astra Linux Directory). Администратор может создавать собственные роли и назначать права, что помогает гибко настраивать политику доступа внутри организации.
Недостатки:
Исключительно SaaS-модель без возможности on-premises.
Продукт не предусматривает установки в закрытый контур компании или локального развертывания. Работа возможна только в облаке вендора.
Отсутствие сертифицированной ФСТЭК версии продукта.
Вендор не предоставляет версию КЭДО Saby, имеющую сертификат ФСТЭК как средство защиты информации (СЗИ). Ответственность за выполнение требований регуляторов (например Приказа ФСТЭК №21) ложится на клиента и его инфраструктуру.
Ограниченный контроль доступа на уровне объектов.
Базовая функциональность не включает списки запрета. Тонкая настройка прав доступа к отдельному документу или записи справочника возможна только через дополнительное платное ПО Saby Space.
Зависимость от облака вендора в вопросах криптографии и СЗИ.
Поскольку решение облачное, клиент не может использовать собственные сертифицированные СЗИ (криптопровайдеры, токены) для всего контура системы. Криптографическая защита обеспечивается вендором на стороне своего ЦОДа.
VK HR Tek
VK HR Tek — это решение для кадрового электронного документооборота от технологической компании VK Tech.
Преимущества:
Гибкие варианты размещения с сертифицированным Public SaaS.
VK HR Tek предлагает не только облачную SaaS-модель, но и возможности Private Cloud и полноценной локальной установки в сети заказчика. При этом облачное решение уже имеет аттестат ФСТЭК.
Высокий уровень доступности и защиты инфраструктуры.
Данные хранятся в катастрофоустойчивой схеме, разнесенной по трем ЦОДам уровня Tier III. Для защиты от DDoS-атак используется собственная система «Хитман».
Комплексный подход к безопасности разработки и эксплуатации.
Безопасность встроена в процессы: проводятся внутренние и внешние пентесты, статический анализ кода, действует программа Bug Bounty. Поддерживается ГОСТ TLS для защищенных соединений.
Детальное логирование и двухфакторная аутентификация.
Система фиксирует все действия пользователей, включая н��удачные попытки доступа. Доступ через HTTPS защищен двухфакторной аутентификацией.
Гибкая ролевая модель и сквозная аутентификация.
Администратор может создавать собственные роли и настраивать права по принципу минимальных привилегий. Система поддерживает сквозную аутентификацию через корпоративные поставщики удостоверений (OIDC/OAuth 2.0) в любой инсталляции.
Недостатки:
Отсутствие списков запрета и детального контроля на уровне документа.
В системе не предусмотрены списки запрета для пользователей. Управление доступом организовано на уровне заявок (которые могут включать несколько документов), а не отдельных файлов или записей справочников.
Ограниченный выбор 2FA для on-premises и упрощенная LDAP-интеграция.
В локальной версии в качестве второго фактора аутентификации на данный момент поддерживается только СМС. При интеграции с Active Directory через LDAP не предусмотрена синхронизация групп и ролей — протокол используется только для задач аутентификации.
Продуктовая документация по соответствию требованиям ФСТЭК не формализована.
Не предоставляется готового документа (например матрицы), детально описывающего, какие конкретные меры Приказа ФСТЭК №21 закрываются функциональностью продукта.
1С: КС
«1С: Кабинет сотрудника» — это решение для кадрового ЭДО от 1С.
Преимущества:
Наличие локальной версии для закрытого контура.
Главное архитектурное преимущество — возможность установки на собственный сервер внутри сети организации. Это обеспечивает полный контроль над данными и ИТ-инфраструктурой, что критически важно для предприятий с жесткими политиками безопасности.
Работа в защищенной инфраструктуре (для облачной версии).
Облачный сервис размещается в дата-центре класса Tier III, что гарантирует высокую доступность и отказоустойчивость на физическом уровне (резервное питание, техобслуживание без остановки).
Недостатки:
Отсутствие базовых механизмов информационной безопасности в продукте.
Система не поддерживает ГОСТ TLS, не имеет интеграции с корпоративными каталогами (ALD/AD), а для двухфакторной аутентификации доступен только email. Функциональность для детального контроля доступа (списки запрета, управление правами на уровне документа) не реализована.
Жесткая ролевая модель.
В системе нельзя создавать собственные роли или кастомизировать набор прав. Используется три фиксированных профиля, что делает ПО малопригодным для организаций со сложной структурой и специфичными требованиями к разграничению обязанностей.
Отсутствие сертификации продукта и зависимость от внешних сервисов.
Решение не имеет и не планирует получать сертификат ФСТЭК, так как, по словам вендора, не реализует функций защиты информации. Для работы требуется обязательное подключение к нескольким внешним сервисам 1С (для СМС, push-уведомлений, активации), что делает невозможной работу в полностью изолированной сети.
Ответственность начинается с выбора системы
Внедряя КЭДО, вы доверяете системе не просто процессы, а персональные данные сотен или тысяч людей. Поэтому подход «сначала внедрим, потом подумаем про безопасность» здесь недопустим.
Защита должна быть заложена в основу решения: определитесь с необходимой моделью размещения (облако/локально), проверьте наличие обязательных сертификатов у вендора, оцените гибкость настроек доступа и шифрования. Используйте наше сравнение как чек-лист для диалога с поставщиками. Это поможет задать правильные вопросы и выбрать удобный и безопасный инструмент, который сохранит данные ваших сотрудников и репутацию компании.
