Сколько стоит украденная клиентская база и почему собственники недооценивают эту проблему
Я работаю аналитиком на проектах внедрения CRM два года. И самое поразительное наблюдение: примерно 6 из 10 собственников среднего бизнеса не настраивают права доступа в Битрикс24. Всё открыто всем. Любой менеджер видит всех клиентов компании, всех контрагентов, все суммы сделок, всю историю переговоров.
Когда я спрашиваю «почему так», ответы делятся на два типа. Первый: «У нас все свои, я никому не запрещаю». Второй: «А как настраивать-то? Боюсь сломать». Оба ответа стоят компаниям денег. Иногда — больших.
Уход менеджера со всей клиентской базой — это не «теоретическая угроза». Это типовой сценарий: за прошлый год к нам приходили четыре компании с просьбой расследовать утечку, в трёх случаях это была банальная выгрузка из CRM в Excel перед увольнением. Если бы права доступа были настроены правильно, такая выгрузка либо была бы невозможна, либо оставила бы следы.
В этой статье я расскажу, как устроены права в Битрикс24, какие типичные ошибки приводят к утечкам, и как настроить права так, чтобы и сотрудникам было удобно работать, и риск утечки был минимальным.
Как устроены права доступа в Битрикс24: три уровня
Чтобы понять, как настраивать права, надо понимать, как они вообще работают. В Битрикс24 есть три уровня прав, и они работают вместе.
Уровень 1 — роли пользователей. Каждый сотрудник принадлежит к одной или нескольким ролям: «Менеджер по продажам», «РОП», «Маркетолог», «Юрист», «Бухгалтер», «Директор», «Администратор». Роли определяют, что человек в принципе может делать в системе.
Уровень 2 — права на сущности. Для каждой роли настраивается, что она может делать с каждой сущностью CRM: видеть/создавать/редактировать/удалять/экспортировать. И для каких записей: только своих, для всего отдела, для всей компании.
Уровень 3 — детальные правила и исключения. Например, «менеджер видит только свои сделки, кроме сделок свыше 1 млн рублей — те видит только директор». Или «РОП видит сделки своего отдела, но не видит сделки других отделов». Это уже тонкая настройка под бизнес-процессы.
Если вы настроили только первый уровень («у нас есть роли»), но не настроили второй и третий — у вас фактически открытая база, потому что роли без правил ничего не ограничивают.
Ошибка 1: «Видеть сделки всей компании» для рядовых менеджеров
Самая частая ошибка. По умолчанию во многих внедрениях ставят менеджеру право «Видеть сделки — Все». Логика: «чтобы менеджер мог искать клиента, не дублировать сделки». Цена логики: в случае ухода менеджер выгружает всю базу.
Как правильно: менеджер видит только свои сделки и сделки своего отдела. Если ему нужно проверить, не работают ли с этим клиентом другие — есть функция поиска, которая покажет «есть совпадение, обратись к РОПу за информацией». Менеджер видит сам факт совпадения, но не детали чужой сделки.
В Битрикс24 это настраивается через стандартные роли. У роли «Менеджер» в правах на сделки выставляется «Видеть — Свои + Подразделения». В правах на контакты и компании — «Свои + Подразделения». В правах на экспорт — «Запрещён» (это ключевой пункт, к нему вернёмся отдельно).
Ошибка 2: Право «Экспорт» доступно всем
В Битрикс24 есть функция выгрузки сделок, контактов и компаний в Excel. По умолчанию она доступна всем, у кого есть право «Видеть». Это означает, что любой менеджер может за 5 секунд выгрузить базу клиентов на свой ноутбук — и никто не узнает.
Я видела две истории за этот год, где так и произошло. Менеджер увольняется, через два месяца открывает свою компанию, начинает обзванивать клиентов с уникальной формулировкой («я знаю, что у вас в августе была сделка на сумму X, могу предложить лучше»). Очевидно, утечка, но доказать почти невозможно — выгрузка в Excel не оставляет следов в логах Битрикса по умолчанию.
Как правильно: запретить экспорт всем, кроме РОПа и директора. Если менеджеру нужно поработать со списком клиентов — он работает в самой CRM (фильтры, выборки), а не выгружает в Excel. Если нужна реально большая выборка для аналитики — её делает либо аналитик, либо РОП.
В Битрикс24 это настраивается в правах роли: для роли «Менеджер» в строке «Экспорт» ставится «Запрещён». Это одно действие, которое закрывает 80% риска утечки.
Ошибка 3: Один админский доступ, который знают все
Часто бывает так: настройку Битрикса делал один человек (внутренний айтишник или внешний интегратор), потом он ушёл, остался один общий админский логин «admin / Qwerty123». Этим логином пользуются все, кому что-то надо настроить: подключить нового сотрудника, изменить воронку, поправить отчёт.
Через год выясняется, что:
Под этим логином заходили 8 человек, нет понятия, кто что менял. Если что-то сломалось — невозможно найти концов. Когда из 8 кто-то увольняется — его не «отключают», потому что логин общий.
Как правильно: у каждого сотрудника собственный логин. Админских прав у обычных сотрудников нет вообще. Если кому-то надо что-то настроить — он либо просит администратора, либо у него выделена ограниченная админская роль («может настраивать воронки, но не может менять права»). При увольнении сотрудника его учётка деактивируется в течение часа.
Настройка ролей администраторов — это отдельная задача. Мы обычно делаем 3–4 уровня: суперадмин (только директор и главный технарь), бизнес-админ (РОП может настраивать процессы своего отдела, но не трогает права и интеграции), технический админ (внешний интегратор имеет временный доступ под задачу), пользователь (никаких админских прав).
Ошибка 4: Двухфакторная аутентификация выключена «потому что неудобно»
В Битрикс24 есть встроенная двухфакторная аутентификация (через Битрикс24 Личный кабинет, Google Authenticator или SMS). Большинство компаний её отключают, потому что «менеджеры жалуются». В результате если у менеджера украдут пароль (через фишинг, через переустановку Windows на чужом ноутбуке, через слитую базу логинов с другого сервиса) — злоумышленник попадает в CRM.
Как правильно: двухфакторка включена обязательно для всех, кто работает с клиентскими данными. Особенно для админов и руководителей. Один раз привыкли — пользуются годами без проблем. Это стандарт во всех серьёзных компаниях, и Битрикс24 никак не исключение.
Включение двухфакторки занимает 15 минут на пользователя (объяснить и помочь поставить приложение). Один раз настроили — забыли.
Ошибка 5: Внешние пользователи (подрядчики, интеграторы) с постоянным доступом
Часто к Битрикс24 имеют доступ внешние подрядчики: дизайнер, который делает презентации, бухгалтер на аутсорсе, маркетолог-фрилансер, интегратор, который что-то настраивал год назад. Все они когда-то получили доступ, а потом про них забыли. Их учётки активны.
В случае компрометации любого из этих внешних аккаунтов — вся ваша база утекает. И вы об этом, скорее всего, не узнаете.
Как правильно: для внешних подрядчиков — отдельные ограниченные учётки с минимальными правами. Бухгалтеру не нужны все сделки — ему нужны только сделки в стадии «Оплачено» с финансовыми полями. Дизайнеру не нужен доступ к CRM вообще — ему нужен только Диск и определённые папки. Интегратору доступ выдаётся под задачу с дедлайном «удалить через месяц».
Раз в квартал проводим ревизию: кто из активных пользователей реально пользуется системой. Если последний вход был более 60 дней назад — учётку отключаем. Если человек снова понадобится — включим.
Дополнительные меры: что мы внедряем нашим клиентам
Помимо базовых правил, есть несколько дополнительных мер, которые мы настраиваем для клиентов с чувствительными данными (юристы, медицина, финансовые услуги).
Скрытие финансовых полей. Менеджер видит сделку, но не видит сумму или маржу. Сумму видит только РОП. Полезно в компаниях, где менеджеры не должны знать «реальные» цены и условия.
Скрытие телефонов и email клиентов. В карточке клиента вместо «+7 (812) 123-45-67» отображается «+7 (812) ***-**-67». Менеджер может позвонить через встроенную телефонию (тогда звонок идёт через системы компании и фиксируется), но не может увидеть номер для записи и не может позвонить «лично». Это сильное ограничение, но в некоторых нишах оправдано.
Логирование всех действий. В Битрикс24 есть журнал действий, но по умолчанию он пишет только базовые события. Можно расширить логирование на ключевые операции: просмотр сделки, открытие карточки клиента, попытки экспорта. Это даёт юридически значимые свидетельства в случае разбирательства.
Запрет на доступ из-за пределов России. Через интеграцию с провайдером можно ограничить вход в Битрикс24 только с российских IP-адресов. Если кто-то пытается зайти из-за рубежа — блокировка и уведомление администратору.
Эти меры применяются избирательно. Не каждой компании нужны все, но для бизнеса с чувствительными данными — точно нужны хотя бы некоторые.
Что делать, если вы уже подозреваете утечку
Если у вас есть подозрение, что менеджер выгружал базу или передавал данные на сторону:
Шаг первый: сразу заблокировать его учётку и сменить пароли всех админских аккаунтов. Иногда увольняющиеся менеджеры используют админский доступ, который им когда-то дали и забыли отозвать.
Шаг второй: проверить журнал действий за последние 30 дней. Особенно интересны: массовые просмотры карточек клиентов, попытки экспорта, изменение прав доступа, добавление новых пользователей.
Шаг третий: проверить, не были ли подключены к его аккаунту внешние интеграции (например, выгрузка в Google Sheets, в стороннюю CRM). Это самый частый канал утечки.
Шаг четвёртый: если есть конкретные доказательства — обращаться к юристам. Утечка коммерческой тайны — это уголовная статья, доказательная база из Битрикс24 (журнал действий, скриншоты карточек) принимается в суде.
Если хотите провести аудит безопасности вашего Битрикс24 — посчитайте на калькуляторе или оставьте заявку. Мы за 2–3 часа проверим настройки прав, выявим уязвимости и дадим план их закрытия.
Связанные материалы
- 12 AI-сценариев автоматизации продаж в Битрикс24
- Битрикс24 vs amoCRM — в том числе сравнение по безопасности данных
- Внедрение Битрикс24 под ключ
FAQ: Права доступа и безопасность в Битрикс24
Сколько стоит правильная настройка прав в Битрикс24?
Настройка ролей и базовых правил — 8 000–15 000 ₽ для компании 20–50 сотрудников. Расширенная настройка (со скрытием полей, ограничениями по IP, аудитом) — 25 000–40 000 ₽. На калькуляторе можно прикинуть полный пакет.
Можно ли настроить права самостоятельно?
Можно, интерфейс Битрикс24 это позволяет. Но опыт показывает: 80% самостоятельных настроек либо избыточные (мешают сотрудникам работать), либо недостаточные (не закрывают реальные риски). Это та область, где экономия на интеграторе обходится дороже самой работы.
Что делать при увольнении сотрудника — как правильно отключить?
В течение часа после уведомления об увольнении: деактивировать учётную запись (не удалять — иначе пропадёт история действий), переназначить его сделки и контакты другому менеджеру, проверить журнал действий за последний месяц, отозвать токены внешних интеграций под его аккаунтом. У нас есть готовый чек-лист «Корректное отключение сотрудника» из 12 пунктов — выдаём клиентам.
Менеджер хочет вести дома работу с клиентом, заходит из дома — это безопасно?
Сам по себе домашний вход — нормальная практика. Но при условии, что включена двухфакторная аутентификация, на домашнем устройстве установлен антивирус, и нет привычки сохранять пароль в браузере. Если что-то из этого не выполняется — лучше использовать VPN компании или Битрикс24 Mobile (там доступ контролируется через сертификат устройства).
Можно ли отследить, что конкретный менеджер скачал из CRM?
Базово в Битрикс24 фиксируются массовые операции: экспорт, удаление большого количества записей. Точечные действия (например, открыл 30 карточек клиентов и сфотографировал экраном телефона) — без специального логирования отследить нельзя. Поэтому защита строится не только на логах, а на запрете самой возможности (запрет экспорта, скрытие полей, телефония только через систему).
Хотите проверить безопасность вашего Битрикс24?
На разборе мы за 1,5 часа проверим текущие настройки прав, выявим основные риски и дадим план действий.
