第四十五章：禁变窗口(2/3)

首发：~第四十五章：禁变窗口

会议进入最关键部分：禁变窗口的时间范围怎么定。

原医院信息科负责人提出：“重大手术、转运、ICU关键操作期间禁变，原则上从关键操作前两小时到后四小时。”

供应商技术负责人立刻反驳：“这样窗口太长，会影响日常证书更新与补丁部署。”

监管问：“你们为何必须在关键期更新证书？证书更新是否可以提前规划？如果不能规划，说明你们证书管理机制存在问题。”

供应商技术负责人说：“证书存在有效期，我们必须在到期前更新。”

监管追问：“你们在19:35-19:45窗口更新证书，是否因为证书临近到期？请提供证书有效期与更新计划。若证书并非临近到期，则你们选择在关键期更新属于风险决策。”

供应商沉默。

沉默意味着他们要么没准备证书计划，要么证书并非临近到期。两种都不好。

原医院主管院长试图缓和：“医院不关心证书细节，我们只要系统稳定。”

监管看着他：“医院不关心细节不代表可以忽视。关键系统稳定依赖这些细节。你们必须把供应商的变更纳入医院的禁变窗口审批。否则你们没有控制权。”

一时间，会议室里只剩键盘声。禁变窗口不仅是技术问题，更是权力问题：谁能说“现在不能动”。以前是供应商说了算，他们只要用“紧急”就能动；现在监管要求医院说了算，并且要求系统冻结支持医院决策。供应商当然不愿意，因为这会让他们失去便利，也会让他们的“紧急”失去随意性。

林昼知道，真正的博弈从这里开始。

---

中午十二点，监管给出一个“临时禁变窗口标准（试行）”的框架，要求三方在七日内确认并落地：

1）医院关键期（转运/手术/ICU重大操作）前2小时至后6小时，供应商不得实施任何影响链路策略、证书、回滚规则的变更；

2）如确需紧急变更，必须由医院信息安全负责人/主管院长签署“例外批准”，并由监管可查；

3）紧急变更不得启用跨区回退优先级提升（APAC_PRIORITY_BOOST），不得关闭地理围栏；如必须跨区，需单独出具跨境评估与审批；

4）重大变更通知必须提前≥24小时，且必须形成确认闭环（医院确认收到并理解风险点）；

5）第三方平台需提供“策略冻结”与“版本链哈希证明”配合监管核查；

6）变更系统与执行系统必须强制关联，审批后变更内容不得修改；如修改，必须重新审批，并在审计中可见；

7）禁止事后补录替代事前申请；事后补录仅限补充说明，不得改写审批依据。

这份框架一出，供应商的表情就很难看。因为它直指他们的惯例：紧急策略与跨区回退被明确限制，补录被明确禁止，关联与一致性校验被强制。

这意味着他们过去的灰区将被系统性封死。

---

下午一点四十，会后不到半小时，供应商就开始推新的叙事。

他们向原医院单独发了一份“合作建议函”，绕开监管，建议医院“采用供应商全托管模式”，由供应商自行制定关键期运维策略，医院只需“授权”。建议函里还暗示：如果医院坚持强制禁变窗口，可能导致“服务不可用风险增加”，并建议“由医院承担因此产生的后果”。

这是一种非常典型的推责写法：你要控制权，那你就承担风险；你不承担，那你就放权。放权就回到原来的模式：供应商想动就动，想开就开。

原医院主管院长本来就倾向“外包结果”，很可能会被这份建议函打动。监管要求医院承担控制权，医院内部很多人并不习惯。习惯外包的人最怕承担。

接收医院法务把这份建议函转给监管，并提醒：“供应商绕开监管试图影响医院决策。”

监管回复：“已收悉，纳入整改监督。整改方案必须在监管框架内确认，不得私下变更核心条款。”

林昼看到这条消息，心里泛起一种冷意：对方不仅在技术层面补洞，还在权力层面找出口。他们知道证据链已被钉死，于是转而争夺“未来如何写规则”。谁写规则，谁就能把风险重新定义成“正常”。

规则不能让他们写回去。

---

下午三点，另一个风险点同时出现：证人开始疲惫。

护士长发来消息：“我妈今天又接到陌生电话，说‘你女儿别多管闲事’。我妈吓得不敢出门。我今天真的快扛不住了。”