方晓雯把文件初稿打完最后一个句号的时侯，时间是晚上十一点四十。

办公室的灯管亮了一整天，光线有点发黄，照在屏幕上泛着一层暖色的膜。贺知舟坐在对面，保温杯早就空了，杯盖拧开搁在桌角，杯底朝上倒扣着晾水渍。

“你看一遍。”方晓雯把笔记本电脑转过来。

屏幕上是一份六页的pdf，页眉印着“安徽省急诊医学质量控制中心”的抬头，标题加粗居中：《关于全省急诊医学数据系统接入安全等级要求的专业建议》。

贺知舟从第一页看到第六页，手指在触控板上滑了十二下，每一页停的时间不一样，第三页停得最久。第三页是核心条款，三条，竖着排下来，每条后面跟着技术依据和法规引用。

第一条：凡接入全省急诊科分诊、抢救、诊疗数据的第三方信息平台，上线前必须取得信息系统安全等级保护二级及以上认证。

第二条：数据存储服务器必须部署在中华人民共和国境内，禁止跨境传输原始医疗数据。

第三条：平台必须提供独立于主系统的离线数据备份方案，备份周期不超过二十四小时，备份介质由数据所有方保管。

“技术依据引用了三个文件。”方晓雯翻开笔记本，手指点在手写的批注上，“《信息安全技术网络安全等级保护基本要求》、《健康医疗大数据标准、安全和服务管理办法》、还有去年国家卫健委发的《医疗卫生机构网络安全管理办法》。三个文件里都有医疗数据安全等级的表述，只不过没有针对急诊科单独列过。”

“所以我们不是发明新规矩，是把现有规矩拼到一起，画了一条线。”

“对。措辞上我反复改了，通篇没有出现任何企业名称，也没有提招标项目。纯技术建议，纯业务口径。”

贺知舟把页面翻回第一页，看了一眼落款。起草单位是省急诊医学质量控制中心，签发人栏空着，等他签字。

他从白大褂口袋里掏出笔，笔帽拔开，在签发人那一栏写了自已的名字。写完把笔帽扣回去，插回口袋。

“明天一早发梁文博邮箱，抄送赵德明。”

第二天上午九点，贺知舟拨了程铮的电话。

“程铮，那份安全等级标准你看了？”

“看了，方晓雯昨晚发我的。技术条款没问题，二级认证的要求写得很准，我补了两个细节建议发回去了，她说已经改进终稿了。”

“我问你一个事。按这个标准卡，皖中恒信现在的系统要升到二级，你评估过时间没有？”

程铮那头键盘声停了，椅子轮在地面上滑了一下。

“我昨晚把他们公开的技术方案摘要又看了一遍。他们现在的架构，说白了就是一套标准的云端数据采集系统，没有安全审计模块，没有入侵检测，访问控制只让了基础的账号密码，连双因素认证都没有。”

“多长时间？”

“从一级升到二级，系统整改、安全设备采购部署、测评机构排期加上正式测评，最快六个月。六个月是理想状态，前提是他们技术团队全力推进、资金到位、测评机构不排队。实际上八个月到一年比较正常。”

“招标评标本月二十五号结束。”

“对，他赶不上。就算中了标，接入的时侯过不了这道关。”

贺知舟把手机搁在桌面上，拨了高启峰的号码。

响了一声就接了，背景音干净，像是在办公室里。

“老高，忙不忙？”

“刚看完滁州的病案数据，眼睛酸得厉害。什么事？”

“质控中心出了一份急诊数据安全等级标准的建议，梁文博今天递交省卫健委。我需要你在中心医院通步推一件事。”

“说。”

“以中心医院信息科的名义出一份内部文件，内容跟我们这份标准对齐：凡是跟中心医院急诊科对接的第三方数据平台，接入前必须达到等保二级。措辞可以不一样，标准一样就行。”

高启峰那头沉了两秒。

“你要两家医院通时推通一个标准。”

“一院出标准，中心医院跟进。两家省级三甲通时执行通一套要求，省里看到的就不是一家医院的意见，是行业共识。”

“我明白了。”高启峰的笔在桌面上磕了两下，“信息科那边我下午去谈，他们科长跟我关系还行，这种纯技术性的文件不牵扯利益，走内部审批就能签。”

“时间呢？”

“文件不复杂，明天能出。”

“好。出了以后发一份给梁文博，让他跟我们的建议一起打包往上报。”

“收到。还有一件事，滁州的病案数据我初步看了一遍。”