Уход врача редко совпадает с удобным концом месяца. В расписании остаются будущие визиты, в МИС — незавершённые документы, в почте — переписка по рабочим вопросам, на планшете — активная сессия, а у регистратуры нет ответа, кто теперь подтверждает переносы.
В этот момент клиника легко совершает одну из двух ошибок. Первая — отключить всё одним движением и только потом обнаружить, что некому завершить легитимный рабочий маршрут. Вторая — оставить доступ «на пару дней», не задав срок, задачи и контроль. Первая создаёт простой, вторая — неконтролируемое продолжение полномочий.
Правильный offboarding не выбирает между безопасностью и уважением к врачу. Он разделяет личность, профессиональную историю, данные клиники и текущие роли. Уходящий сотрудник не обязан превращаться во врага, а клиника не должна превращать доверие в вечный доступ.
Эта статья сосредоточена на технической и операционной передаче: учётные записи, сессии, устройства, расписание, документы, интеграции и доказательство отзыва. Более широкий кадровый сценарий — пациенты, коммуникации и организация замещения — разобран отдельно в материале «Врач увольняется: как не потерять расписание, доступы и пациентов».
Сначала определите тип ухода
Плановая передача и внезапное прекращение доступа требуют разных скоростей.
Плановый уход
Известна дата, есть возможность инвентаризировать задачи, назначить преемников, провести передачу и проверить результат до отключения.
Срочное прекращение полномочий
Доступ отзывается в согласованный момент по команде уполномоченной роли. Передача знаний выполняется по доступным документам, журналам и владельцам процессов, а не ценой сохранения активной учётной записи.
Длительное отсутствие
Больничный, отпуск, приостановка работы или иной статус не всегда означает окончательное удаление. Может потребоваться временная блокировка, делегирование отдельных функций и дата пересмотра.
HR и руководство определяют статус отношений. IT исполняет согласованный сценарий и не угадывает намерения по слухам.
Учётная запись и медицинская история — разные объекты
Отключение входа не должно удалять авторство документов и журнал действий. И наоборот, необходимость хранить историю не требует оставлять возможность входа.
Во многих системах правильнее заблокировать или архивировать пользователя, чем физически удалить запись. Тогда сохраняются связи с документами, расписанием и аудитом, а аутентификация прекращается. Конкретное поведение проверяют в МИС: некоторые продукты могут при удалении менять отчёты или терять ссылки.
Перед действием спросите поставщика:
- чем отличается блокировка от удаления;
- остаётся ли авторство;
- что происходит с будущими визитами;
- видны ли незавершённые документы;
- прекращаются ли активные сессии;
- отзываются ли API-токены и мобильные входы;
- можно ли безопасно восстановить доступ при ошибке;
- фиксируется ли действие администратора.
Карта доступа строится по человеку, ролям и устройствам
Один врач может иметь десятки путей:
- МИС;
- РИС/PACS;
- лабораторный портал;
- ЕГИСЗ и контур подписи;
- корпоративная почта;
- облачное хранилище;
- телефония и мессенджер;
- VPN;
- Wi‑Fi;
- удалённый рабочий стол;
- сайт и личный кабинет;
- BI;
- система заявок;
- камеры или СКУД по роли;
- ключи кабинета;
- ноутбук, планшет, телефон;
- сертификат и токен;
- общие аккаунты.
Не полагайтесь на память IT. Карта должна собираться из HR-данных, каталога приложений, инвентаризации устройств и подтверждения руководителя.
Общие аккаунты превращают уход в смену паролей для всех
Если врач входил под общей учётной записью кабинета, персонально отозвать его доступ невозможно. Приходится менять пароль и переподключать коллег, а журнал не показывает, кто выполнял действие.
На этапе offboarding:
- Зафиксируйте общую учётную запись как исключение.
- Смените секрет по согласованному окну.
- Создайте персональные роли оставшимся сотрудникам.
- Проверьте интеграции и устройства, которые использовали старый секрет.
- Назначьте срок устранения общего входа.
Масштаб проблемы и переход к MFA разобраны в статье об одном общем пароле администратора.
Заблокированный аккаунт может оставить живую сессию
Некоторые системы проверяют статус учётной записи только при новом входе. Уже выданный токен, refresh token, cookie, VPN-сессия или мобильное приложение могут продолжать работать. Поэтому «пользователь заблокирован» — лишь один шаг.
Проверьте:
- активные веб-сессии;
- мобильные сессии;
- токены API;
- OAuth-подключения;
- VPN;
- RDP;
- сохранённые пароли;
- сертификаты;
- ключи SSH;
- доступ через федерацию;
- резервные коды MFA;
- привязанные устройства.
NIST в материалах по цифровой идентичности отдельно различает отключение аккаунта, федеративные идентификаторы и связанные аутентификаторы. Для клиники вывод простой: отзыв должен пройти по всем слоям, а не только по одной строке в МИС.
Электронная подпись требует отдельного маршрута
Токен нельзя просто передать другому врачу. Закрытый ключ и полномочие связаны с владельцем и применимыми правилами. При уходе нужно:
- вернуть физический носитель, если он принадлежит клинике;
- проверить сертификаты и привязки;
- отозвать или прекратить использование по установленному процессу;
- удалить локальные копии контейнеров, если они существовали законно;
- проверить резервные коды и облачные подписи;
- назначить новую уполномоченную роль без передачи чужого секрета;
- зафиксировать момент прекращения полномочий.
Конкретные юридические действия определяют ответственные специалисты и удостоверяющий центр. IT не должен самостоятельно использовать токен врача для завершения документов.
Незавершённый документ нельзя «дописать от имени ушедшего»
Открытые черновики требуют медицинского решения. Возможные варианты зависят от типа документа и системы: завершить до даты ухода, передать на предусмотренное соавторство, закрыть как незавершённый, создать новый документ другой ролью или провести иной утверждённый маршрут.
Нельзя:
- передавать пароль коллеги;
- менять автора задним числом;
- подписывать чужим сертификатом;
- копировать медицинский текст в незащищённый файл;
- скрывать незавершённость ради красивой статистики.
Список открытых документов готовит система или уполномоченная роль. Медицинский руководитель принимает решение, IT обеспечивает технический маршрут и аудит.
Расписание нужно передавать до отключения, но не врачу «в собственность»
Будущие записи принадлежат процессу клиники, а не личному календарю. Для каждого визита определяется:
- услуга;
- пациентский статус;
- возможная замена;
- кабинет и оборудование;
- длительность;
- уведомление;
- новая ответственная роль;
- порядок согласования с пациентом.
Нельзя просто массово назначить все визиты другому врачу: специализация, оборудование и согласие пациента могут отличаться. Сначала сегментируют будущие записи, затем регистратура работает по утверждённому сценарию.
Пациентская коммуникация не должна уходить вместе с личным номером
Если врач общался с пациентами с личного телефона или аккаунта, клиника теряет историю и контроль. Offboarding не исправит прошлое мгновенно, но должен остановить продолжение практики.
Переведите рабочие коммуникации в корпоративные каналы:
- номер клиники;
- управляемую телефонию;
- корпоративную почту;
- личный кабинет;
- утверждённый мессенджер;
- журнал обращения в МИС/CRM.
Пациентам сообщают организационное изменение нейтрально и без раскрытия кадровых деталей. Формулировку согласует руководство, а не IT.
Почта: сохранить рабочий поток, не читать всё подряд
Корпоративный почтовый ящик содержит рабочие письма, но право доступа и срок хранения требуют политики. Не стоит автоматически раздавать полный архив руководителю подразделения. Практичнее:
- заблокировать вход в согласованный момент;
- завершить активные сессии;
- сохранить ящик по политике;
- настроить автоответ или новый контакт;
- перенаправлять только новые рабочие обращения, если это разрешено;
- передать конкретные папки или задачи через контролируемый процесс;
- удалить персональные способы восстановления;
- зафиксировать срок пересмотра.
Личная почта врача не должна быть способом входа в корпоративные сервисы. Если была — замените владельца аккаунтов и подтвердите управление доменом.
Особенно внимательно проверьте адреса, через которые восстанавливается доступ к регистратору домена, DNS, сайту и корпоративной почте. Если такой контур оформлен на личный ящик врача или бывшего администратора, обычного сброса пароля мало: сначала нужно документально вернуть клинике роль владельца. Отдельный маршрут для этой ситуации есть в разборе о восстановлении контроля над доменом клиники. Здесь важен общий принцип: увольнение не создаёт проблему владения, а лишь делает давно существовавшую зависимость видимой.
Облачные документы скрывают вторые права
Пользователь может быть удалён из основной группы, но оставаться владельцем отдельных файлов, папок, календарей, форм, отчётов и автоматизаций. Ссылки «доступен всем, у кого есть ссылка» продолжают жить независимо от аккаунта.
Проверьте:
- личные и командные диски;
- владельцев форм;
- таблицы расписания;
- дашборды;
- календари;
- внешние расшаривания;
- сервисные аккаунты;
- webhook и API-токены;
- приложения, авторизованные через OAuth.
Передайте владение корпоративной роли и отмените внешние ссылки, которые больше не нужны.
Устройство возвращают вместе с его состоянием
Принять ноутбук по серийному номеру недостаточно. Нужно понять:
- кому он назначен;
- зашифрован ли диск;
- есть ли локальные медицинские файлы;
- какие профили браузера и VPN сохранены;
- установлены ли сертификаты;
- включено ли управление устройством;
- куда синхронизировались данные;
- требуется ли сохранить рабочие артефакты;
- как выполняется очистка и повторная выдача.
Не форматируйте устройство до согласованного сохранения нужных рабочих данных и возможного расследования. Но и не передавайте новому сотруднику старый профиль браузера с активными сессиями.
Личное устройство нельзя «забрать на проверку» без основания
Если клиника разрешала BYOD, offboarding опирается на заранее согласованную политику: удаление корпоративного профиля, отзыв сертификатов, завершение сессий, подтверждение удаления управляемых данных. Нельзя произвольно просматривать личное содержимое сотрудника.
Технически лучший сценарий — контейнер или управляемый профиль, который отделяет рабочие данные. Если его не было, клиника фиксирует риск и переносит процессы в корпоративный контур, не пытаясь решить организационный долг незаконным доступом к личному устройству.
Физический доступ и цифровой доступ закрываются синхронно
Ключи, карты, пропуска, кабинет, серверная, склад, парковка и код сигнализации могут жить в разных системах. Внезапное отключение МИС при действующем пропуске оставляет неполный контроль; обратная ситуация мешает законно забрать личные вещи или провести передачу.
HR, безопасность и IT согласуют точный момент. Карта доступа включает физические и цифровые средства. Возврат носителей фиксируется, потерянный пропуск блокируется, общие коды меняются.
Составной сценарий: почту закрыли, а доступ остался в планшете
Это учебная реконструкция, не реальный кейс.
После планового ухода врача IT блокирует корпоративную почту и учётную запись в МИС. Через неделю медсестра замечает, что старый планшет кабинета по-прежнему открывает расписание. Оказалось, устройство использовало общий аккаунт, а приложение хранило долгоживущую сессию.
Команда не ищет виноватого. Она завершает сессии, меняет общий секрет, создаёт персональные роли, проверяет другие планшеты и добавляет в offboarding пункт «активные устройства и токены». Затем повторяет тест с учётной записью, созданной специально для учения.
Смысл примера: проверка входа с нового браузера не доказывает полный отзыв доступа.
Экстренный offboarding должен быть короче, но не слепее
При срочном прекращении доступа команда сначала закрывает каналы высокого риска:
- Основной провайдер идентичности.
- МИС и клинические системы.
- Почта и облако.
- VPN и удалённый доступ.
- Административные роли.
- Электронные подписи и сертификаты по установленному процессу.
- Физический доступ.
- Активные сессии и токены.
Параллельно сохраняются журналы и состояние, если есть основание для расследования. Передача процессов идёт через руководителей и системы, а не через сохранённый вход сотрудника.
Плановый offboarding начинается за две недели — если они есть
Этап 1. Инвентаризация
Учётные записи, устройства, роли, будущие записи, открытые документы, проекты, интеграции и знания.
Этап 2. Назначение преемников
Каждый маршрут получает владельца. Передача не означает выдачу пароля.
Этап 3. Закрытие медицинских задач
Уполномоченные роли определяют судьбу черновиков, результатов и планов.
Этап 4. Репетиция
Второй сотрудник выполняет критичный процесс по инструкции без устной помощи.
Этап 5. Отзыв
В согласованный момент отключаются аккаунты, сессии, токены, сертификаты и физический доступ.
Этап 6. Проверка
Команда подтверждает невозможность входа и сохранение рабочих маршрутов.
Срок две недели — пример удобной подготовки, а не обязательный норматив. При меньшем времени приоритизируют критичные системы.
Проверка отзыва должна быть положительной и отрицательной
Положительный тест: новый владелец процесса может открыть нужное расписание, найти документ, получить уведомление и выполнить задачу.
Отрицательный тест: старая роль не может войти через веб, мобильное приложение, VPN, федерацию и сохранённую сессию. Устройство не получает новые данные. Старый токен не выполняет API-запрос.
Не используйте реальный пароль ушедшего сотрудника. Тест строится через административные журналы и специально подготовленные сценарии.
Логи сохраняют факты, но не должны становиться поводом для слежки
Для подтверждения отзыва полезны:
- время блокировки;
- администратор;
- список затронутых систем;
- завершённые сессии;
- отозванные токены;
- возврат устройств;
- результат контрольных тестов;
- исключения;
- дата повторного просмотра.
Не включайте в общий отчёт медицинское содержание и личную переписку. Доступ к журналам ограничивают, сроки хранения определяют по политике.
Исключения нельзя оставлять без даты
Иногда доступ нельзя закрыть сразу: требуется завершить согласованный документ, передать сервисный аккаунт или дождаться замены. Исключение содержит:
- систему;
- причину;
- минимальные права;
- владельца;
- точное время окончания;
- дополнительный контроль;
- подтверждение закрытия.
«Оставить пока» не является сроком.
Сервисный аккаунт не должен принадлежать врачу
Интеграция лаборатории, календаря или устройства иногда работает под личной учётной записью сотрудника. После блокировки ломается обмен, поэтому IT откладывает отзыв.
Исправление:
- создать отдельную сервисную идентичность;
- назначить владельца процесса;
- выдать минимальные права;
- хранить секрет в управляемом хранилище;
- настроить ротацию;
- наблюдать использование;
- запретить интерактивный вход, если не нужен;
- документировать зависимость.
Offboarding — лучший момент обнаружить такие связи, но исправлять их безопаснее до последнего дня.
Тот же риск возникает с внешними инженерами и интеграторами: их доступ может быть записан «на врача», хотя фактически им пользуется подрядчик. Не переносите такую неопределённость в новую учётную запись. Сверьте цель, систему, срок, способ подключения и журналирование с отдельным порядком контроля временных доступов подрядчика. Если владелец не может объяснить, зачем соединение ещё нужно, доступ сначала приостанавливают в контролируемом окне, наблюдают за зависимостями и только затем закрывают окончательно.
Есть полезный тест зрелости: клиника должна уметь назвать не только всех людей с доступом, но и все процессы, которые перестанут работать после блокировки каждого сервисного аккаунта. Этот список редко получается с первого раза. Поэтому первый проход лучше считать инвентаризацией зависимостей, а не поводом немедленно менять всё в рабочее время.
Передача знаний должна создавать инструкцию, а не запись экрана с пациентом
Попросите врача описать:
- нестандартные организационные маршруты;
- владельцев оборудования;
- порядок работы с лабораторией;
- где лежат шаблоны;
- как эскалируется ошибка;
- какие будущие задачи открыты.
Используйте синтетические примеры. Не записывайте экран с медицинскими данными ради обучения. Инструкция описывает действия, роли и исключения, а не содержит историю конкретного пациента.
Что делать с профилем врача на сайте
Страница врача, форма записи, SEO, агрегаторы и карты могут продолжать приводить пациентов после ухода. Составьте отдельную карту внешних точек:
- страница на сайте;
- онлайн-запись;
- виджеты;
- агрегаторы;
- карточки филиалов;
- рекламные кампании;
- автоматические письма;
- schema.org;
- кэш поисковика.
Не удаляйте страницу хаотично, если на неё ведут ссылки. Выберите честный статус: обновить информацию, закрыть запись, предложить релевантную альтернативу, настроить корректный редирект там, где он уместен. Не создавайте впечатление, что врач продолжает принимать.
Метрики зрелого offboarding
- доля систем с назначенным владельцем;
- время от подтверждённой команды до отзыва;
- число найденных общих аккаунтов;
- число активных сессий после блокировки;
- количество исключений без срока;
- доля устройств, возвращённых и обработанных;
- число критичных маршрутов с преемником;
- количество будущих визитов без решения;
- время закрытия внешних каналов записи;
- доля повторных тестов без дефектов.
Это не универсальные нормативы. Они помогают клинике видеть собственный процесс и повторяющиеся пробелы.
Красные флаги
- IT узнаёт об уходе после последней смены;
- блокируется только почта;
- аккаунт удаляют вместе с историей;
- пароль врача передают коллеге;
- активные мобильные сессии не проверяют;
- токен подписи остаётся в кабинете;
- будущие визиты массово переносят без медицинского решения;
- рабочая переписка хранится на личном номере;
- облачные формы принадлежат личной почте;
- старый ноутбук выдают новому врачу без очистки;
- сервис работает под личным аккаунтом;
- исключение не имеет даты;
- профиль на сайте продолжает принимать запись;
- нет отрицательного теста доступа;
- offboarding закрывают по галочкам без проверки маршрута.
Чек-лист координатора
- [ ] Подтверждены тип ухода, дата и точное время.
- [ ] Назначен уполномоченный координатор.
- [ ] Собрана карта цифровых и физических доступов.
- [ ] Определена судьба учётных записей без удаления истории.
- [ ] Инвентаризированы активные сессии и токены.
- [ ] Электронная подпись обработана отдельным процессом.
- [ ] Незавершённые документы получили решение.
- [ ] Будущие визиты сегментированы.
- [ ] Назначены преемники маршрутов.
- [ ] Рабочая коммуникация переведена в корпоративный канал.
- [ ] Почта сохранена и перенаправлена по политике.
- [ ] Владение облачными объектами передано.
- [ ] Корпоративные устройства возвращены.
- [ ] BYOD-профиль и сертификаты отозваны.
- [ ] Физический доступ синхронизирован.
- [ ] Внешние страницы и запись обновлены.
- [ ] Выполнены положительный и отрицательный тесты.
- [ ] Исключения имеют владельца и срок.
- [ ] Через сутки назначена повторная проверка.
FAQ
Нужно ли удалять учётную запись врача?
Не всегда. Часто безопаснее заблокировать или архивировать её, сохранив авторство и аудит. Поведение конкретной системы проверяют до действия; доступ при этом должен быть прекращён.
Можно ли передать пароль врачу-преемнику?
Нет. Преемник получает собственную персональную роль. Общий пароль меняют, а общий аккаунт включают в план устранения.
Как не потерять незавершённые документы?
До отключения сформировать список и передать его медицинскому владельцу. Он определяет допустимый маршрут завершения; IT не меняет авторство и не подписывает чужим ключом.
Что делать с личным телефоном врача?
Отозвать корпоративные сессии, сертификаты и управляемый профиль по утверждённой BYOD-политике. Нельзя произвольно просматривать или изымать личное содержимое.
Как проверить полный отзыв доступа?
Завершить сессии и токены, проверить веб, мобильные приложения, VPN, федерацию и устройства по административным журналам, затем повторить контроль через согласованный интервал.
Кто участвует в offboarding?
HR подтверждает статус и время, руководство и медицинский владелец передают процессы, IT закрывает цифровые доступы, безопасность — физические, регистратура и маркетинг обновляют запись и коммуникации.
Источники и ограничения
NIST SP 800‑63C различает прекращение аккаунта, федеративные идентификаторы, аутентификаторы и связанные сессии; NIST NCCoE по управлению идентичностью описывает отзыв ресурсов и учётных данных при прекращении работы сотрудника. Это технические методические источники, а не российские кадровые или медицинские нормы.
Конкретные действия с документами, подписями, почтой, персональными устройствами и пациентской коммуникацией должны соответствовать российскому праву, трудовым отношениям, внутренним политикам и настройкам систем. Составной сценарий не описывает реальную клинику.
Что сделать завтра
Возьмите одного действующего сотрудника — не увольняя и не блокируя его — и проведите read-only инвентаризацию. Попросите HR назвать роль, IT — аккаунты, руководителя — открытые процессы, самого врача — используемые устройства и внешние сервисы. Сравните четыре списка.
Неисправленные расхождения и будут настоящим планом offboarding. Если один планшет, общий пароль или личная форма обнаружились только в разговоре, добавьте их в каталог и назначьте владельца.
Зрелая клиника не ждёт ухода хорошего врача, чтобы узнать, на чём держалась его работа. Она заранее делает маршрут видимым — и потому может одновременно сохранить порядок, защитить данные и завершить сотрудничество по‑человечески.
