再次试图抢回叙事。他们向监管提交“合规说明”，强调：

*变更告知已发送且医院已收到；

*邮件加速服务符合行业通行做法；

*不涉及医疗数据正文，仅为变更通知；

*跨境风险可控，已采用TLS加密；

*自动回滚保障连续性，不影响安全。

监管的回应很冷：“请提供跨境评估/合规备案依据或内部评估编号；请提供TLS加密配置与证书管理说明摘要；请提供第三方安全标准证书编号；请说明日志留存如何满足合同180天要求。”

所有“可控”都要编号来证明。

---

夜里十点半，法务室只剩林昼与值班法务。窗外城市的灯像稀薄的星。林昼把今天新增的信息再一次写进索引，写得很慢：

*第三方平台：注册地新加坡（监管已记录全称）

*服务：邮件中继与加速

*数据：不持久化存储正文，但存在缓存短驻留

*路径：全球调度，不保证固定路径，可配置区域优先级

*日志：传输元数据日志≥90天；审计接口仅对供应商开放

*冲突：合同要求审计日志≥180天

*医院确认：收到告知但内容简略，未提示自动回滚风险，未要求确认

*下一步：跨境评估依据、TLS/证书管理摘要、第三方安全证书编号、节点区域证明、90天与180天差异解释

写完最后一个“解释”，他放下笔，抬头看向走廊尽头。那里是ICU方向，白光仍在，但明天父亲就可能离开那里。白光对他来说不再只是恐惧，它也成了一种见证：见证他如何把一个模糊的威胁变成一串字段、编号、签章与记录。

他在心里把今天定格成一句话：

“第三方一旦出现，就必须给出可审计的边界；边界不给，所谓合规就只是口头。”