Управление пользователями (User Access Management)

СТАНДАРТНАЯ ОПЕРАЦИОННАЯ ПРОЦЕДУРА

Управление пользователями (User Access Management) в компьютерной системе «n-tst.ru»

Номер СОП: СОП-КС-04

Версия: 1.0

Дата эффективности: 01.11.2026

Планируемая дата пересмотра СОП: 01.11.2028

           ФИО   Должность                                 Подпись   Дата

Утвердил Генеральный директор
Разработал Специалист по клиническим исследованиям

История изменений документа

Версия Дата эффективности Изменения Необходимость тренинга

СОП-КС-04, версия 1.0 01.11.2026 Первоначальный документ. Да

  1. НАЗНАЧЕНИЕ ПРОЦЕДУРЫ

Настоящая Стандартная операционная процедура (СОП) устанавливает порядок создания, изменения, блокировки и удаления учетных записей пользователей в компьютерной системе «n-tst.ru» (далее --- Система), а также правила управления паролями и обеспечения разграничения прав доступа в соответствии с требованиями GCP и 21 CFR Part 11.

  1. ОБЛАСТЬ ПРИМЕНЕНИЯ

Данная процедура распространяется на всех пользователей Системы (Администраторов, Главных исследователей, Врачей, Мониторов, Супервайзеров) и на лиц, ответственных за администрирование доступов.

  1. НОРМАТИВНО-ПРАВОВАЯ БАЗА

    • Решение Совета Евразийской экономической комиссии № 63 от 01.08.2025 г.

    • 21 CFR Part 11: Electronic Records; Electronic Signatures (США).

    • ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems..

  2. ОПРЕДЕЛЕНИЯ И СОКРАЩЕНИЯ

Термин Определение

Система EDC-система «n-tst.ru». Учетная запись (Аккаунт) Уникальный идентификатор пользователя (Email), связанный с определенным набором прав. Роль Набор прав доступа в системе (Администратор, Главный исследователь, Врач, Монитор, Супервайзер). Администратор (Admin) Пользователь, имеющий исключительное право управлять учетными записями (создавать, менять роли, сбрасывать пароли). Администратор не имеет права редактировать данные пациентов. УКЭП Усиленная квалифицированная электронная подпись (в Системе используется простая электронная подпись на базе ID + Пароль согласно 21 CFR Part 11).

  1. ОБЯЗАННОСТИ

  2. Администратор Системы --- выполняет создание/изменение учетных записей на основании утвержденных заявок, производит сброс паролей, своевременно отзывает доступы уволенных сотрудников.

  3. Главный исследователь (Chief) --- подает заявки на создание учетных записей для врачей своего центра, сообщает Администратору о необходимости отзыва доступа.

  4. Пользователь --- обеспечивает конфиденциальность своего пароля, не передает свою учетную запись третьим лицам, своевременно сообщает о необходимости сброса пароля.

  5. QA (Обеспечение качества) --- проводит периодический аудит журнала действий на предмет несанкционированных изменений прав доступа.

  6. ОПИСАНИЕ ПРОЦЕДУРЫ

6.1. Создание учетной записи

  1. Основанием для создания учетной записи является утвержденная заявка (или приказ) от руководителя проекта или Главного исследователя.

  2. Администратор заходит в раздел «Пользователи и разрешения».

  3. Заполняет поля: Email (логин), ФИО, Пароль (не менее 8 символов), выбирает Роль, Исследование и Центр.

  4. Нажимает кнопку «Создать».

  5. Важно: при создании пользователю автоматически устанавливается флаг must_change_password = true. При первом входе Система обяжет пользователя сменить временный пароль на свой собственный.

6.2. Разграничение прав доступа (Принцип минимальных привилегий)

  1. Права доступа выдаются строго в соответствии с ролью пользователя в исследовании:

  2. Врач (Doctor): Создание/заполнение карт только своих пациентов (doctor_id), ответ на запросы, подписание визитов.

  3. Главный исследователь (Chief): Просмотр всех карт своего центра, управление врачами, подписание карт, просмотр Аудита.

  4. Монитор (Monitor) / Супервайзер: Просмотр всех карт исследования, проведение SDV, создание и закрытие запросов (Queries). Не может вносить изменения в данные.

  5. Администратор (Admin): Управление настройками исследования, библиотекой блоков, пользователями и правилами ИИ. Не может редактировать медицинские данные.

    1. Сброс пароля (Восстановление доступа)

<!-- -->
1. В случае утери пароля Пользователь обращается к Администратору Системы.

  1. Администратор обязан идентифицировать личность Пользователя (например, по видеосвязи или лично).

  2. Администратор переходит в раздел «Установить пароль пользователю», выбирает нужного пользователя, вводит временный пароль (мин. 8 символов) и нажимает «Установить пароль».

  3. При этом в Системе:

  4. Сбрасываются счетчики неудачных попыток входа (failed_attempts = 0), если аккаунт был заблокирован.

  5. Устанавливается флаг must_change_password = true.

  6. В Журнал аудита записывается действие password_set_by_admin (с указанием, кто из Админов это сделал).

  7. Пользователь вводит временный пароль и принудительно меняет его на свой при первом входе.

    1. Блокировка и отзыв доступа

  8. При увольнении сотрудника или переводе его на другую должность, не требующую доступа к Системе, Главный исследователь/Руководитель обязан уведомить Администратора в течение 1 рабочего дня.

  9. Администратор обязан немедленно заблокировать учетную запись (или удалить её).

  10. В Системе предусмотрена автоматическая блокировка при превышении лимита неверных вводов пароля (защита от brute-force атак). Разблокировка производится только Администратором через сброс пароля.

  11. Время бездействия (Idle Timeout): сессия пользователя автоматически завершается через 30 минут отсутствия активности.

    1. Аудит и прослеживаемость

Все действия по управлению пользователями (создание, изменение, сброс пароля, удаление) автоматически фиксируются в Журнале аудита (audit_log).\ Журнал содержит: user_id Администратора, время, тип действия (user_create, password_set_by_admin, patient_soft_delete и т.д.) и идентификатор пользователя, с которым производилось действие.

  1. ПЕРЕЧЕНЬ ПРИЛОЖЕНИЙ

Без приложений.