К содержанию

Генеральный директор

СОП №262: Кибербезопасность доступов

Тема №7. Управление рисками и безопасностью

  1. 1Область применения

    Стандарт задаёт, как генеральный директор держит контур доступов клиники: CRM, почта, касса, банк, снимки, камеры, реклама, ЭЦП. Уволенный с живым паролем опаснее внешнего хакера. Директор утверждает роли, а не «все знают пароль Wi-Fi администратора».

    Применяется в клинике и сети независимо от числа кресел. Генеральный директор не делегирует финальную подпись, если решение меняет деньги, лицензию или репутацию.

  2. 2Цель СОП

    • Иметь реестр доступов с владельцем каждой системы.
    • Закрывать доступ в день увольнения или смены роли, не «когда будет время».
    • Убрать общие учётки с правами бога.

  3. 3Термины и определения

    • Реестр доступов - список систем, ролей, владельцев, 2FA и даты последней ревизии.
    • Права бога - учётка, которая может выгрузить базу, удалить карту и поменять кассу.
    • Отзыв - блокировка в тот же день, когда человек потерял основание.

  4. 4Ответственные лица

    • Генеральный директор - принимает решение, фиксирует его письменно и проверяет исполнение.
    • Управляющий клиникой - собирает факты, считает варианты, исполняет поручение.
    • Главный врач - даёт клиническую оценку риска и не подменяет бизнес-решение.

  5. 5Материалы и оборудование

    • Реестр систем и администраторов, журнал увольнений.
    • 2FA, менеджер паролей клиники, не блокнот ресепшена.
    • Договоры с вендорами CRM, облака снимков и телефонии.

  6. 6Алгоритм действий генерального директора

    6.1. Подготовка

    Соберите все системы, включая «мелкие»: отзывы, облако лаборатории, замок, видеонаблюдение. Сверьте с табелем, кто ещё работает. Банк и ЭЦП проверьте отдельно.

    6.2. Решение

    Утвердите роли, кто может быть админом, правило 2FA, срок отзыва. Внешним подрядчикам дайте отдельные учётки с датой окончания. Резервные коды храните вне ящика ресепшена.

    Общий логин администратора CRM запрещён. Увольнение без отзыва доступов считаю незакрытым кадровым днём. Ревизию прав делаем не реже раза в квартал.

    6.3. Контроль

    Раз в квартал ревизия: лишние админы, общие ящики, уволенные в списках. После инцидента утечки или взлома ревизия внеплановая в 24 часа.

    • Не отправляйте пароли в общий чат клиники.
    • Не оставляйте ЭЦП и токен банка «подписывать, пока я в отпуске» без доверенности.
СОП №261: Резерв на судебные расходыСОП №263: Пароли и права в CRM