Переход на электронные санитарные книжки (ЭСК) сократил время верификации медкнижки работодателем с 2-3 рабочих дней до нескольких секунд, но создал критическую точку риска в разграничении прав доступа. Основной конфликт безопасности здесь лежит в плоскости прав редактирования: возможность изменения записи после её подписания ЭЦП фактически обнуляет юридическую значимость документа.
Полномочия медработника: запись и фиксация
Медицинский работник обладает правом первичного ввода данных и формирования заключения. В системе ЭСК это реализуется через создание записи, которая остается в статусе «черновика» до момента наложения квалифицированной электронной подписи (КЭП). После подписания запись становится неизменяемой (read-only) для самого врача. Это базовый принцип целостности данных: если врач может изменить дату прививки или результат анализа спустя неделю без создания корректирующей записи, система считается уязвимой.
Кейс: врач по ошибке ввел дату вакцинации 2023 годом вместо 2024. В корректно настроенной системе он не может просто «стереть» цифру. Единственный путь — запуск регламент действий при обнаружении фактических ошибок в медицинских записях ЭСК, что создает прозрачный след изменений (audit trail). Экспертный вывод: любые права на прямое редактирование подписанных записей у медперсонала — это прямой путь к массовым фальсификациям.
Администратор реестра: технический надзор без медицины
Администратор реестра — это техническая роль, чьи полномочия ограничены управлением учетными записями, разграничением ролей и техническим сопровождением. В идеальной архитектуре ЭСК администратор вообще не имеет доступа к полям медицинских данных. Его задача — обеспечить работоспособность шлюзов и синхронизацию. Если администратор может зайти в карточку сотрудника и изменить статус «годен» на «не годен», система нарушает требования к безопасности персональных данных.
Практика показывает, что в 15-20% региональных внедрений наблюдается избыточность прав администраторов, что приводит к «тихим» правкам в обход медработников. Экспертный вывод: полномочия администратора должны быть строго отделены от медицинского контента. Администратор управляет доступом, а не данными.
Механизмы защиты от несанкционированного изменения
Главным инструментом разграничения является матрица доступа (RBAC). В ней четко прописано: медработник — Create/Read, администратор — Manage Users. Для исключения манипуляций применяется хеширование записей: любое изменение одного символа в базе данных меняет контрольную сумму документа, что мгновенно выявляется при проверке через реестр. Это делает попытки «подкрутить» сроки действия медкнижки бессмысленными.
При возникновении конфликтов синхронизации с внешними базами данных важны критерии совместимости ЭСК с региональными информационными системами здравоохранения, чтобы данные не перезаписывались автоматически некорректными значениями из устаревших локальных БД. Экспертный вывод: защита данных в ЭСК держится не на доверии к персоналу, а на математической невозможности незаметного изменения подписанного пакета данных.
Сравнение прав: риск-анализ и последствия
Разница в полномочиях определяет вектор возможных злоупотреблений. Ошибки медработника обычно носят случайный или локальный характер (опечатка в фамилии, пропуск обследования), в то время как злоупотребления администратора носят системный характер (массовое изменение сроков годности для целого предприятия). Стоимость одного такого инцидента для организации может составить от 50 000 до 200 000 рублей по административным штрафам, не считая репутационных потерь при проверке Роспотребнадзором.
- Медработник: меняет контент → риск локальной ошибки → исправление через корректирующую запись.
- Администратор: меняет доступ/статус → риск системной фальсификации → уголовная ответственность за подлог документов.
Экспертный вывод: максимально жесткое разделение ролей (Separation of Duties) — единственный способ обеспечить юридическую чистоту ЭСК.
Вывод
Для обеспечения безопасности ЭСК необходимо внедрить принцип «нулевого доверия» к администраторам в части медицинских данных. Рекомендую полностью исключить возможность редактирования любых полей в реестре после наложения ЭЦП, regardless от уровня доступа. Начинать следует с аудита матрицы прав доступа и внедрения обязательного логирования всех действий (Audit Log). Избегайте использования общих учетных записей («admin», «doctor1») — только персональные идентификаторы с привязкой к КЭП, иначе доказать факт фальсификации в суде будет невозможно.
Полная картина раскрыта в обзорном материале — Перспективы развития геномики и клеточной инженерии.