HIS系统账号注销变更审批细则

HIS系统账号注销变更审批细则一、总则1.1编制目的HIS（医院信息系统）账号是医疗数据访问的唯一身份凭证，账号生命周期管理失控是医疗数据泄露、越权操作、责任无法追溯的首要根源。本细则针对实践中最常见的失控场景——人员已离岗但账号仍在使用——建立「申请—审批—执行—复核—归档」五步闭环，使任何一次账号注销从发起到完成留痕可查、责任到人。1.2适用范围•适用于全院所有接入HIS的账号，包括：医生工作站、护士工作站、医技科室工作站、药房药库、收费挂号、病案统计、行政查询类账号；•适用于正式离职、调岗、进修结束、外包驻场结束、轮转出科、长期休假（超过30天）六类触发情形；•不适用于仅密码重置（走《HIS系统密码管理办法》）和权限升级变更（走《HIS系统权限变更审批细则》）。1.3依据文件•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•《医疗卫生机构网络安全管理办法》（国家卫生健康委等部门发布）•等级保护2.0相关要求（三级系统身份鉴别与访问控制条款）•本院《信息安全管理总纲》《人事异动管理制度》1.4责任角色定义角色对应岗位核心职责申请人离岗人员本人或其科室负责人提交注销申请，保证信息真实科室审核人科主任或护士长确认人员状态与工作交接完成信息科受理人信息科账号管理员（双人之一）形式审查、发起执行信息科执行人信息科账号管理员（双人之二）执行禁用与注销操作复核人信息科科长每周复核注销执行情况监督人医务部/护理部/纪检审计室抽查合规性，处理异议二、注销触发情形与分级2.1本章定向账号注销不是单一动作，不同情形下的时限要求、审批层级、操作深度差异极大——分级不当会导致「离职员工账号挂三个月」或「休假医生被误销号延误门诊」两类事故，必须按下表对号入座。2.2触发情形分级表级别触发情形处置方式时限要求审批层级A级（立即）正式离职、辞退、外包合同终止当日禁用，5个工作日内注销人事部发出异动通知后24小时内禁用科室审核人+信息科科长B级（48小时）调岗（科室间调动）48小时内禁用原科室专属权限，保留跨科室通用权限人事异动生效后48小时科室审核人+信息科受理人C级（挂起）进修结束、轮转出科、连续休假超过30天账号挂起（禁止登录），返岗后由本人申请恢复到期后3个工作日内挂起科室审核人D级（清理）连续90天无登录记录信息科批量清理，挂起待确认每季度末统一执行信息科科长+用人科室确认为什么A级要求24小时内禁用而非直接注销：离职当日仍可能存在未结账医嘱、未归档病历等业务，账号先禁用（不可登录但数据保留）可保证业务追溯完整；注销（账号及关联配置删除）必须在业务确认完成后执行，两者不可混为一谈。三、申请与审批流程3.1本章定向审批流程的核心不是「多盖几个章」，而是让知情的人先签字：科室知道人走了没有，信息科知道账号是什么状态，缺任何一环都会出现「人已走、号还在、事无人知」。3.2申请材料申请人提交《HIS账号注销/变更申请表》（见附件1），必须包含：1.被注销人姓名、工号、科室、岗位、联系方式；2.触发情形（对应2.2表中的级别）及人事异动单编号；3.待注销账号清单（登录名、账号类型、开通日期）——由信息科提供，申请人核对；4.工作交接完成情况：未结医嘱数、未归档病历数、未收费项目数（可从HIS报表导出，附表后）；5.科室审核人签字及日期。3.3审批流程与时限1.提交：A/B级由科室负责人在人事异动生效当日提交；C级在到期前3个工作日提交；D级由信息科主动发起。2.科室审核（1个工作日）：确认交接清单中「未结事项」全部归零或已指定承接人，未归零的退回申请人补办，不得带病审批。3.信息科受理（1个工作日）：核对账号清单与HIS后台记录一致；清单与实际不符的（如存在申请人不知情的历史账号），当场补充完整后再进入执行环节——此类差异必须记录在案，作为权限管理审计线索。4.科长审批（仅A级和D级，1个工作日）：A级确认注销方案无误；D级确认批量清理名单。5.总时限：A级从提交到禁用不超过24小时，到注销不超过5个工作日；B级不超过48小时；超时未完成的，受理人每日向信息科科长书面报告原因。3.4审批红线•严禁先执行后补签：任何未经审批的禁用/注销操作，一经发现按信息安全违规处理，操作人承担由此产生的数据追溯责任；•严禁以口头通知、微信截图代替申请表：无表不办；•科室审核人不得审核本人账号的注销申请，改由分管院领导代审。四、执行操作规程4.1本章定向注销操作的技术关键在于顺序：先禁用后注销、先收回后清理、先备份后删除。顺序颠倒的直接后果是——未结医嘱成为「无主医嘱」、审计日志关联断裂、误销后无法恢复。4.2执行步骤（A级为例）1.双人在场：受理人与执行人同时在场，一人操作、一人核对，全程录屏或截图留痕。单人操作为绝对禁止项——双人是防止内部人员滥用注销权限删除操作痕迹的最后防线。2.执行前备份：导出该账号近12个月的操作日志、关联未结业务清单，存入审计归档目录（保留期不少于3年，与病历保存期对齐）。备份未完成的严禁进入下一步。3.禁用：在HIS用户管理模块将账号状态置为「禁用」。此步骤的物理含义是身份认证模块拒绝该账号的登录请求，但账号数据、历史医嘱签名、日志关联关系全部保留——禁用而非删除，是保证「张医生3月5日开具的医嘱」仍能追溯到人。4.会话清理：强制下线该账号所有活动会话，包括已被「记住密码」的移动查房终端。此步不做的典型事故：护士离职后，病房共享PDA上保存的凭据仍可自动登录录入数据。5.权限项逐项收回：对照账号开通时的权限清单逐项停用，不得整包删除权限组——整包删除可能连带影响同组其他共用配置。6.注销：禁用满5个工作日且业务部门书面确认无未结业务后，执行账号注销。注销动作将账号从活动用户表移入历史归档表，登录名保留并标记「已注销」，严禁物理删除记录——登录名不复用，防止新员工复用旧登录名后其操作被误记在前任名下。7.复核：复核人在3个工作日内核对后台状态、归档材料、录屏文件三者一致，在申请表签署复核意见。4.3异常处置异常判定处置禁用后账号仍能登录执行后1小时内用测试终端验证判定执行失败，立即升级至系统管理员排查缓存/集群同步问题，2小时内解决，解决前冻结该账号全部关联终端未结业务未归零交接清单与HIS报表不符暂停注销，退回科室，由科室主任指定承接人并在系统内完成工单转移误注销账号状态错误、人员仍在岗2小时内执行恢复操作（从历史归档表还原），书面报告信息科科长与监督人，48小时内提交事件分析五、监督、审计与持续改进5.1本章定向注销流程的失效模式几乎都是渐进式的——一次超时、一次代签、一次单人操作，半年后就会退化为「离职不发通知、账号挂到审计才发现」。本章的作用是把闭环变成周期性检查，让退化在季度内被拦截。5.2例行检查机制1.周复核：复核人每周五核对本周全部注销工单的执行状态与留痕材料，形成《周复核记录》，次周一前报送信息科科长。2.季对账：每季度末，信息科将HIS活动账号清单与人事部在册人员清单比对，差集中「人在无号」报人事部补办开通，「号在人无」按D级清理。对账报告报分管院领导。3.年审计：每年联合纪检审计室抽查不少于30份注销档案，重点核查：审批签字是否本人、时限是否达标、双人是否在场、日志备份是否完整。抽查结果纳入科室年度信息安全考核。5.3指标与改进指标目标值数据来源A级24小时禁用达成率100%工单系统时间戳注销工单平均处理时长A级不超过5个工作日工单系统季度账号-人事对账差异率不超过0.5%季对账报告抽查档案合规率不低于95%年度审计报告任一指标连续两个季度未达标，信息科科长在10个工作日内组织根因分析，形成改进措施并纳入下季度检查项（PDCA闭环：指标偏差→根因分析→措施落地→下季度复测）。六、培训与附则1.信息科账号管理员上岗前必须完成本细则培训并通过考核，考核内容含一次模拟注销全流程演练；2.各科室负责人每年参加1次本细则宣贯，重点讲解2.2分级表与3.4审批红线；3.本细则由信息科负责解释，自发布之日起施行，每2年修订一次，法规更新时即时修订。附件1：HIS账号注销/变更申请表（样表）项目内容申请编号（信息科受理时填写）被注销人姓名：__工号：科室：岗位：__触发情形□A级离职□B级调岗□C级挂起□D级批量清理人事异动单编号____账号清单（由信息科填写：登录名/账号类型/开通日期）未结业务未结医嘱：__条；未归档病历：份；未收费项目：__项交接承接人姓名：__工号：__申请人签字/日期____科室审核人签字/日期____信息科受理人/日期____信息科执行人/日期____信息科科长审批/日期____（仅A、D级）复核人意见/日期____附件2：注销执行检查表（执行人逐项打勾）序号检查项完成1双人在场，录屏/截图已开启□2近12个月操作日志已导出归档□3未结业务清单已确认归零或已转移□4账号已置为禁用状态□5全部活动会话已强制下线（含移动终端）□6权限项已逐项收回并与开通清单核对□7执行后