РуководствоАдминистраторQA и инспекция

Открыть доступ инспектору

Инспектору регулятора или аудитору спонсора нужен доступ к данным и аудиторскому следу — но строго «только просмотр» и на ограниченный срок. Особого «режима инспектора» нет: инспектор — обычная учётная запись с готовой ролью Аудитор (только просмотр), назначенной со сроком.

Кому и когда

Администратор — администратор доступа или тот, кто ведёт команду исследования: нужно право выдавать доступ (access.grant) на исследование, а чтобы завести новую учётную запись — principal.manage. QA и инспекция обычно согласует с инспекцией срок и область.

Задача возникает перед инспекцией регулятора или аудитом спонсора — как только известны даты.

Перед началом

Известны даты инспекции: доступ должен истекать сам, без напоминаний администратору.
Известна область: всё исследование или конкретный центр.
Роль Аудитор (только просмотр) есть в Администрирование → Роли (она поставляется с платформой; проверить состав можно там же).
Если инспекции нужны копии материалов, заранее договоритесь, кто соберёт инспекционный пакет — сам инспектор файлов не выгружает.

Шаги

Откройте исследование → Команда и нажмите Добавить в команду.
Выберите человека. Если учётной записи ещё нет — Пригласить нового (или заведите её в Администрирование → Пользователи, либо подключите через SSO).
Выберите роль Аудитор (только просмотр) и область: Всё исследование или нужный центр.
Задайте Действует до — дату окончания инспекции. Это ключевой шаг: без срока доступ останется бессрочным.
Нажмите Добавить.

0:000:00

Главное для инспектора: чтение аудиторского следа и самостоятельная проверка хеш-цепочки

Продлить доступ

Срок правится только новым назначением, а не редактированием старого: история грантов неизменна, задним числом продлить нельзя. Назначьте роль заново с новой датой Действует до.

Что произойдёт

Инспектор видит данные исследования, историю значений, запросы, подписи, статусы SDV и блокировок, аудиторский след — и может сам проверить целостность цепочки. Ни одного действия записи у него нет.
Назначение записывается в аудиторский след; все действия инспектора аудируются, как у любого пользователя.
По окончании срока доступ прекращается сам: очередной запрос просто перестаёт проходить проверку прав.

Если не получилось

Нет кнопки «Добавить в команду» — нет права access.grant на исследование.
«Список пользователей недоступен» — нужно право «Чтение доступа» (access.read) на уровне организации; или пригласите нового человека.
Нет роли «Аудитор (только просмотр)» — её переименовали или удалили; создайте роль из шаблона «инспектор» (Управлять доступом команды).
Инспектор не видит центр — роль назначена на другой центр; назначьте на нужный или на всё исследование.
Инспектор просит файл или расслеплённые значения — у роли нет export.run и data.unblinded.read намеренно; см. «Если инспекции нужно расслепление или экспорт» ниже.

Дальше

Собрать инспекционный пакетКопии для инспекции — одним слепым ZIP с манифестом.

Проверить целостность цепочки аудитаЧто увидит инспектор, нажав проверку цепочки.

Управлять доступом командыРоли, сроки, запреты и проверка доступа.

Аудиторский следЧто записано в журнале и как его читать.

Подробнее

Роль «Аудитор (только просмотр)»

Роль поставляется вместе с платформой — собирать её из прав не нужно. Она одинаково подходит аудитору спонсора и инспектору регулятора: просмотр данных и истории значений, запросов, подписей, статусов SDV и блокировок, аудиторского следа и самостоятельная проверка его целостности. Ни одного права на изменение, выгрузку данных исследования или расслепление в ней нет. Работают те же правила доступа, что и для всех: запрет по умолчанию и «deny всегда побеждает».

Что инспектор видит

Навигация — как у обычного пользователя, но без единого действия записи.

Данные исследования — кейсбуки субъектов, формы, значения — в режиме чтения.
История каждого значения — все версии поля: что было, что стало, кто и когда изменил, с указанной причиной изменения (RfC).
Аудиторский след — полная цепочка событий с фильтрами по периоду, пользователю, действию; для каждого события видно «до/после» и причинную связь.
Самостоятельная проверка целостности — кнопка Проверить целостность журнала пересчитывает криптографическую цепочку аудита и выдаёт вердикт Цепочка целостна или Цепочка нарушена с номером первой сломанной записи. Проверка — прямой ответ на главный вопрос инспекции «чем докажете, что аудиторский след не редактировали?»: инспектору не нужно верить на слово. Если найден разрыв — это критический инцидент, и система его не «чинит» молча.

Типичный осмотр субъекта: аудитор открывает субъекта, читает его кейсбук и вкладку аудита — историю каждого значения с причинами изменений. Статусы SDV, подписей и блокировок он видит на тех же экранах, что и команда, — в режиме просмотра. Файлов и печатных копий у него нет (152-ФЗ — минимизация копий персональных данных): копии для инспекции выдаёт дата-менеджер инспекционным пакетом (вкладка Инспекционный пакет в Экспортах исследования; пакет всегда слепой и проверяется офлайн).

Чего инспектор не может

Ограничения — не косметика интерфейса: соответствующих прав инспектору просто не выдали. Даже прямой обход интерфейса упрётся в отказ сервера.

Действие	Почему недоступно
Любая правка данных, статусов, запросов	нет прав на изменение — доступ «только просмотр»
Формирование документов (выгрузка файлов)	нет права `export.run`; кнопок нет, прямой вызов — отказ
Расслепление (unblind)	нет права `data.unblinded.read`; слепые значения замаскированы (`•••`) везде, включая аудит
Продление своего доступа	срок правится только новым грантом, задним числом — нельзя