Безопасность финансовых данных при работе с бухгалтерской компанией: что спросить и что проверить

Бухгалтерский баланс, отчёт о прибылях и убытках, отчёт о движении денежных средств — это финансовый портрет вашего бизнеса. Любой, кто умеет читать эти документы, мгновенно понимает реальное финансовое положение компании: сколько активов, каков долг, насколько прибылен бизнес. Степень конфиденциальности этих данных — высокая. Для публичных компаний отчётность обязательно раскрывается, но для малого и среднего бизнеса она составляет коммерческую тайну.

Зарплатные ведомости, расчётные листки, данные для начисления НДФЛ и страховых взносов — это персональные данные физических лиц в понимании Федерального закона №152-ФЗ «О персональных данных». Их обработка требует соблюдения строгих правил: получения согласия, обеспечения защиты, ограничения круга лиц, имеющих доступ. Утечка зарплатных данных — это не только репутационный удар, но и прямое нарушение закона.

Расчётные счета, корреспондентские счета, данные банк-клиента — информация, которая при попадании в руки мошенников позволяет организовать несанкционированные платежи или подставные транзакции. Особую опасность представляет ситуация, когда аутсорсер получает не только доступ к просмотру, но и право формирования платёжных поручений.

Договоры с поставщиками и покупателями, условия сотрудничества, скидки, отсрочки, объёмы закупок — это информация, которую ваши конкуренты готовы дорого заплатить. Зная, у кого вы закупаете сырьё и на каких условиях, конкурент может переманить вашего поставщика или предложить вашему клиенту более выгодные условия.

Налоговая декларация — это документ, содержащий налоговую тайну в соответствии со статьёй 102 Налогового кодекса РФ. Сведения, составляющие налоговую тайну, не подлежат разглашению. Их незаконная передача третьим лицам влечёт ответственность. При этом именно декларации дают полное представление о реальных оборотах бизнеса.

Информация о том, кому реально принадлежит бизнес, какова доля каждого участника, кто является конечным бенефициаром — данные особой чувствительности. Их раскрытие может создать угрозу для собственников лично: от корпоративных конфликтов до давления со стороны недобросовестных партнёров.

Бухгалтер видит себестоимость продукции или услуг, маржинальность по каждому направлению, структуру затрат. Это именно та информация, которая защищается Федеральным законом №98-ФЗ «О коммерческой тайне». Конкурент, получивший эти данные, может демпинговать точечно — именно там, где вам больнее всего.

Информация о кредитной нагрузке компании, залоговом имуществе, условиях займов — это данные, которые определяют переговорную позицию бизнеса. Кредитор или контрагент, знающий о вашей долговой нагрузке, получает серьёзное преимущество на переговорах.

Бухгалтерские компании — привлекательная цель для киберпреступников именно потому, что атаковав одну компанию, можно получить доступ к данным десятков и сотен клиентов. Вирусы-шифровальщики (Ransomware) блокируют доступ к данным и требуют выкуп. DDoS-атаки выводят из строя инфраструктуру. Фишинговые письма имитируют сообщения от налоговой или банка и вынуждают сотрудников раскрыть учётные данные. По данным Positive Technologies, финансовый сектор и профессиональные услуги входят в топ наиболее атакуемых отраслей.

Статистика показывает, что значительная часть утечек данных происходит изнутри организации. Сотрудник бухгалтерской компании, имеющий доступ к вашим данным, может скопировать их перед увольнением, продать конкурентам или использовать для личного обогащения. Особую опасность представляет ситуация, когда сотрудник уходит к конкурирующей бухгалтерской компании вместе с клиентскими базами.

Ошибочная отправка письма не тому адресату, потеря флешки с данными клиентов, случайная публикация конфиденциального документа в общем доступе — всё это реальные сценарии, которые происходят регулярно. По данным Verizon Data Breach Investigations Report, человеческий фактор присутствует в большинстве инцидентов безопасности.

Многие бухгалтерские компании привлекают субподрядчиков: IT-специалистов для обслуживания систем, юристов для правовой экспертизы, курьерские службы для доставки документов. Каждый из этих участников — потенциальная точка утечки. Если с субподрядчиком не заключено соглашение о конфиденциальности, ваши данные защищены только добросовестностью чужих людей.

Один из самых недооценённых рисков: что происходит с вашими данными, когда вы уходите к другому аутсорсеру? Без чётко прописанного порядка возврата и уничтожения данных бывший партнёр может хранить копии ваших документов неограниченное время. Это создаёт риски как утечки, так и использования данных в будущем.

Облачные бухгалтерские системы удобны, но создают специфические риски. Уязвимость на стороне провайдера, взлом серверов, некорректная настройка прав доступа — всё это может привести к тому, что ваши данные окажутся доступны посторонним. Важно понимать: ответственность за выбор облачного провайдера лежит на бухгалтерской компании, но последствия несёт ваш бизнес.

Злоумышленники могут звонить сотрудникам бухгалтерской компании, представляясь клиентами, налоговыми инспекторами или представителями банка, и выуживать конфиденциальную информацию. Без специального обучения рядовой бухгалтер легко может стать жертвой такой манипуляции.

Получив доступ к реквизитам счетов и данным банк-клиента, мошенники могут организовать несанкционированные платёжные поручения. Вернуть похищенные средства крайне сложно — особенно если деньги выведены через цепочку счетов. Даже если платёж удастся оспорить, это займёт месяцы судебных разбирательств.

Информация о том, что ваша компания не может защитить финансовые данные, разрушает доверие клиентов и партнёров. Особенно болезненно это для компаний, работающих в сфере финансовых услуг, юриспруденции, медицины — там, где конфиденциальность является базовым требованием рынка.

Данные о реальных оборотах и структуре расходов, попавшие к недобросовестным лицам, могут быть использованы для доносов в налоговую инспекцию или для давления на бизнес. Налоговая проверка, инициированная на основе «слитых» данных, — это серьёзные временные и финансовые затраты.

Конкурент, получивший информацию о вашей марже, ценообразовании и ключевых контрагентах, получает возможность точечно атаковать ваши позиции: переманивать клиентов, предлагая чуть лучшие условия, или переключать ваших поставщиков на себя.

Если утечка затронула персональные данные сотрудников, ответственность несёт не только бухгалтерская компания как оператор, но и ваша организация как работодатель. Статья 13.11 КоАП РФ предусматривает штрафы за нарушение законодательства о персональных данных. При умышленных действиях возможна уголовная ответственность по статье 272 УК РФ (неправомерный доступ к компьютерной информации).

Реальный сценарий, о котором мало говорят публично: недобросовестный сотрудник или бывший партнёр, располагающий компрометирующими финансовыми данными, может использовать их для давления на собственника бизнеса. Особенно если в документах есть информация о серых схемах или налоговой оптимизации на грани закона.

Если ошибки аутсорсера привели к налоговым доначислениям, штрафам или блокировке счетов, а в договоре не прописана ответственность исполнителя, расплачиваться придётся вам. Субсидиарная ответственность — это ситуация, когда директор или собственник отвечает личным имуществом по долгам компании.

Ключевой закон в сфере защиты данных физических лиц. Он обязывает операторов персональных данных обеспечивать их защиту, получать согласие субъектов на обработку, хранить данные российских граждан на серверах, расположенных в России (требование локализации). Бухгалтерская компания, обрабатывающая зарплатные данные сотрудников вашей организации, является оператором персональных данных и обязана быть зарегистрирована в реестре Роскомнадзора. Проверить регистрацию можно на сайте pd.rkn.gov.ru.

Сведения о налогоплательщике, полученные налоговым органом, составляют налоговую тайну. Однако бухгалтерская компания, которая готовит декларации, имеет доступ к этим сведениям по роду деятельности. Важно понимать: передача налоговых данных третьим лицам без законных оснований является нарушением, и ответственность может нести как аутсорсер, так и ваша компания.

Этот закон позволяет вашей компании установить режим коммерческой тайны в отношении информации о себестоимости, ценообразовании, контрагентах и других коммерчески чувствительных данных. Для того чтобы режим коммерческой тайны работал юридически, необходимо: составить перечень сведений, составляющих коммерческую тайну; установить порядок обращения с ней; нанести на носители гриф «Коммерческая тайна»; ввести режим коммерческой тайны приказом по организации. Только при соблюдении этих условий вы сможете требовать юридической ответственности за разглашение.

Информация о банковских счетах и операциях составляет банковскую тайну. Бухгалтерская компания, получающая выписки по счетам, работает с охраняемой законом информацией. Её разглашение влечёт гражданскую, административную и уголовную ответственность.

Административная ответственность за нарушение законодательства о персональных данных предусмотрена статьёй 13.11 КоАП РФ. Штрафы для юридических лиц достигают значительных сумм и были существенно увеличены в последние годы. Уголовная ответственность за неправомерный доступ к охраняемой компьютерной информации предусмотрена статьёй 272 УК РФ. За разглашение коммерческой тайны — статьёй 183 УК РФ.

Серьёзная бухгалтерская компания, работающая с конфиденциальными данными, должна иметь ряд подтверждений своей компетентности в сфере безопасности:

• Регистрация в реестре операторов персональных данных Роскомнадзора (pd.rkn.gov.ru)
• Для аудиторских компаний — членство в саморегулируемой организации аудиторов (реестр на minfin.gov.ru)
• Сертификат ISO 27001 — международный стандарт управления информационной безопасностью (при его наличии)
• Лицензия ФСТЭК на деятельность по технической защите конфиденциальной информации (при наличии соответствующих услуг)
• Квалификационные аттестаты сотрудников: аттестат профессионального бухгалтера ИПБ России, ДипИФР (ACCA)

Важно понимать: ISO 27001 — это добровольная сертификация, и её отсутствие не является автоматическим признаком ненадёжности. Однако наличие сертификата свидетельствует о том, что компания прошла независимую проверку системы управления информационной безопасностью.

а отдельный документ, который детально описывает режим конфиденциальности. Качественное NDA должно содержать:

• Исчерпывающий перечень информации, признаваемой конфиденциальной: коммерческая тайна, персональные данные, налоговые сведения, банковская информация, данные о контрагентах
• Конкретные штрафные санкции за разглашение — не абстрактное «возмещение ущерба», а фиксированные суммы неустойки
• Порядок возмещения упущенной выгоды
• Срок действия обязательств: обязательно указать, что они действуют не только в период сотрудничества, но и после его окончания (как правило, 3–5 лет)
• Ответственность аутсорсера за действия его субподрядчиков и сотрудников

Если компания предлагает только стандартный договор без отдельного NDA или отказывается его подписывать — это серьёзный красный флаг.

— важный индикатор серьёзности компании. При выборе аутсорсера обратите внимание на три параметра:

• Страховой лимит должен быть соразмерен масштабу вашего бизнеса. Если ваш годовой оборот — 100 миллионов рублей, а страховое покрытие — 500 тысяч, это несоответствие.
• Перечень страховых случаев должен включать не только бухгалтерские ошибки, но и инциденты с утечкой данных, штрафы ФНС по вине аутсорсера, блокировки счетов.
• Полис должен быть действующим — проверьте дату окончания и реквизиты страховщика.

— сотрудник входит в систему не только по паролю, но и с подтверждением через телефон или токен. Это существенно снижает риск компрометации учётных данных.

— каждый сотрудник видит только те данные, которые необходимы для его работы. Бухгалтер по зарплате не должен иметь доступ к данным о контрагентах, и наоборот.

— предоставление ровно тех прав, которые нужны для выполнения конкретной задачи, и не более.

— все обращения к данным клиента фиксируются в логах с указанием пользователя, времени и характера действия. Это позволяет расследовать инциденты и выявлять подозрительную активность.

— технические ограничения на копирование данных на флешки, личные облачные хранилища и через личную почту.

— процедура, которая должна быть прописана и реально выполняться в день увольнения сотрудника.

— передача документов через незащищённые каналы. WhatsApp, Telegram, личная электронная почта, обычный FTP — всё это недопустимо для передачи конфиденциальных финансовых документов. Надёжная компания должна предоставить:

• Защищённый корпоративный портал или личный кабинет для обмена документами
• Корпоративную электронную почту с антиспам-фильтрами и шифрованием
• Корпоративный мессенджер с end-to-end шифрованием для оперативного общения
• Работу через сертифицированных операторов ЭДО: Диадок (Контур), СБИС, 1С-ЭДО, Taxcom

У серьёзной бухгалтерской компании должен существовать пакет внутренних документов по безопасности:

• Политика информационной безопасности — основной документ, определяющий принципы и требования
• Регламент работы с персональными данными клиентов
• Приказ о введении режима коммерческой тайны
• Политика чистого стола и чистого экрана — запрет оставлять конфиденциальные документы без присмотра
• Регламент уничтожения документов — шредирование бумажных носителей, безопасное удаление цифровых данных
• Политика использования личных устройств (BYOD) — как правило, запрет работы с личных гаджетов
• Политика удалённой работы — требования к домашним рабочим местам сотрудников

Попросите показать эти документы или хотя бы подтвердить их существование. Компания, у которой их нет, не может гарантировать системную защиту ваших данных.

1. «Где физически хранятся наши данные — сервер в офисе, дата-центр, облако? Какой ЦОД используется?»
2. «Данные разных клиентов изолированы друг от друга или хранятся в общей базе?»
3. «Какое шифрование применяется при передаче и хранении наших документов? Какие протоколы и алгоритмы?»
4. «Как часто создаются резервные копии, где они хранятся и как часто проверяется возможность восстановления?»
5. «Используете ли вы многофакторную аутентификацию для доступа к системам?»
6. «Как защищены данные при работе сотрудников из дома?»
7. «Проводились ли у вас тесты на проникновение за последний год? Можете показать результаты?»

1. «Подпишете ли вы отдельное NDA с исчерпывающим перечнем конфиденциальной информации и конкретными штрафными санкциями?»
2. «Включены ли в договор пункты об ответственности за утечку данных и ошибки, повлёкшие штрафы ФНС?»
3. «Что произойдёт с нашими данными при расторжении договора? В какие сроки и в каком формате они будут возвращены? Будет ли составлен акт об уничтожении копий?»
4. «Зарегистрированы ли вы как оператор персональных данных в реестре Роскомнадзора?»
5. «Привлекаете ли вы субподрядчиков? Какие именно данные им передаются и заключены ли с ними соглашения о конфиденциальности?»
6. «Как быстро вы уведомите нас в случае инцидента? Есть ли у вас регламент реагирования на инциденты?»

1. «Есть ли у вас сертификат ISO 27001 или аналогичный документ, подтверждающий систему управления информационной безопасностью?»
2. «Как часто ваши сотрудники проходят обучение по информационной безопасности?»
3. «Проверяете ли вы сотрудников при приёме на работу?»
4. «Кто конкретно из ваших сотрудников будет иметь доступ к нашим данным? Сколько человек?»
5. «Есть ли у вас ответственный за защиту данных (DPO) или специалист по информационной безопасности в штате?»

1. «Какие бухгалтерские программы используете — 1С, облачные сервисы? Как настроены права доступа и журналирование?»
2. «Насколько регулярно обновляется программное обеспечение? Есть ли регламент установки обновлений безопасности?»
3. «Используете ли вы только лицензионное ПО?»
4. «Как организован доступ клиента к системе — личный кабинет, отчёты по запросу, совместная работа в облаке?»

1. «Были ли у вас инциденты с утечкой данных клиентов? Если да — как вы их решали и что изменили в системе безопасности?»
2. «Можете ли предоставить рекомендации от действующих клиентов, которых мы можем контактировать напрямую?»
3. «Есть ли у вас страхование профессиональной ответственности? Каков лимит покрытия?»
4. «Можем ли мы провести аудит вашей системы безопасности — самостоятельно или с привлечением независимого эксперта?»

Наиболее распространённая система в России. При правильной настройке обеспечивает гибкое разграничение прав доступа, журналирование действий пользователей, возможность работы в режиме тонкого клиента без хранения данных локально. Ключевые вопросы: как настроены роли пользователей, ведётся ли журнал регистрации действий, где физически расположена база данных.

Облачный сервис от фирмы «1С» с размещением данных на серверах в России. Имеет встроенные механизмы разграничения доступа и резервного копирования. Важно уточнить у аутсорсера, используется ли общий облачный экземпляр или выделенный, и каковы условия SLA провайдера.

Облачные бухгалтерские сервисы российских операторов, как правило, хранят данные на серверах в России и соответствуют требованиям 152-ФЗ. При выборе аутсорсера, использующего такие системы, важно проверить политику безопасности конкретного оператора и условия обработки данных.

Для обмена документами с контрагентами и государственными органами используются операторы ЭДО: Диадок (Контур), СБИС, 1С-ЭДО, Taxcom. Все они являются аккредитованными операторами ЭДО и обеспечивают юридически значимый документооборот с применением квалифицированной электронной подписи. Передача документов через этих операторов значительно безопаснее, чем через обычную электронную почту.

Первичная передача документов должна происходить только через защищённые каналы — корпоративный портал аутсорсера или зашифрованный email. Все передаваемые данные должны быть зафиксированы в реестре с подписями обеих сторон: что передано, в каком формате, когда. Доступ аутсорсера к вашим системам должен быть настроен по принципу минимальных привилегий — ровно столько, сколько нужно для работы. Ваши сотрудники, взаимодействующие с аутсорсером, должны получить инструктаж о правилах передачи данных.

В процессе работы важно не отпускать ситуацию «на самотёк»:

• Регулярно запрашивайте отчёты о том, кто и когда обращался к вашим данным
• Контролируйте, что документы передаются только через согласованные системы
• Периодически пересматривайте перечень передаваемых данных — возможно, часть из них уже не нужна аутсорсеру
• Запрашивайте ежеквартальный отчёт о состоянии безопасности
• Следите за изменениями в законодательстве и актуализируйте договор при необходимости

Завершение работы с аутсорсером — самый рискованный момент с точки зрения безопасности данных. Правильный офбординг включает:

• Полный возврат всех документов и данных в согласованном формате и в установленные сроки
• Гарантированное уничтожение всех копий данных на стороне аутсорсера с составлением акта
• Отзыв всех доступов к вашим системам и отмену выданных доверенностей
• Удаление данных из облачных систем аутсорсера
• Подписание акта об уничтожении данных с детальным перечнем уничтоженной информации

Без акта об уничтожении данных вы никогда не будете иметь юридического подтверждения того, что бывший аутсорсер удалил вашу информацию.