公立医院的精神科或临床心理科，是整个社会心理健康体系的最高防线。他们对心理测评软件的要求，与普通学校或企业的需求完全不在一个维度。
很多医院在采购心理量表系统时，科室主任往往只关注“你们系统里有没有明尼苏达（MMPI）和韦氏智力测验？”而忽视了底层架构的安全性。一旦系统上线，被医院极其严苛的信息科（IT 部门）拉去进行安全审查时，往往会因为底层设计太烂而被当场毙掉。
为了避免项目烂尾，医院在招投标或选型阶段，必须像审查医疗器械一样，对软件厂商的底层架构进行硬核拷问。以下是必须抛给厂商的 5 个极其致命的技术问题。
1. “你们的系统支持物理网络隔离与内外网穿透吗？”
为什么问：医院内部系统与患者远程访问可能处在不同网络区域，需要由信息科明确数据流、边界控制和允许的访问方式。不能仅凭“内网”二字推断所有系统都绝对断网。
需要追问：部署在哪里、哪些数据跨网传输、由谁授权、网络边界如何控制？是否适用某种云或专线方案，应结合该院安全要求和具体系统评估，而非仅凭部署名称判断。
可讨论的方案：按医院批准的网络分区设计内部服务、外部入口和受控交换机制，并验证鉴权、数据校验、访问日志、异常阻断与故障恢复。DMZ或前置网关是可能的组件，不是所有项目唯一的拓扑。
2. “如果患者名字和身份证号泄露，你们在数据库里是明文吗？”
为什么问：
心理档案属于极度敏感的特级医疗隐私。如果有人偷偷用 U 盘拷贝走了数据库的备份文件，里面的抑郁症患者名单是否会大白于天下？
不合格的回答： “我们对口令进行了 MD5 加密。”（答非所问，问的是业务数据）
可讨论的方案：结合威胁模型选择应用层、数据库或存储层加密，并明确密钥保管、轮换、访问控制和备份保护。业务数据加密可采用合适的对称加密或信封加密方案，不要求所有字段直接用RSA。加密不能代替权限校验，密钥或应用层失守时仍有泄露风险。
3. “你们的数据隔离方案是逻辑隔离还是物理隔离？”
为什么问：
很多医院属于医联体架构，一个系统要给总院和下面十几个社区分院共同使用。
需要追问：采用共享表时，租户条件是否在每条读写路径可靠执行，导出、缓存、文件与后台任务是否同样隔离？仅有一个hospital_id字段并不足够，但共享表也不能仅凭名称就判为不合格。
可讨论的方案：共享表、独立Schema和独立数据库各有成本与运维取舍。Schema是数据库中的命名与权限组织方式，不等同物理隔离；独立数据库也需正确配置账号、路由、备份和运维权限。验收时应实际测试跨机构读写、导出和错误路由，而不是接受“彻底杜绝串库”的口头保证。
4. “你们的计分引擎是写死在代码里的吗？能热更新吗？”
为什么问：
临床心理量表的常模（Norm）和划界分（Cutoff Score）是会随着医学研究的进展而更新的。如果某天中华医学会发布了最新的 SCL-90 常模，系统该怎么升级？
不合格的回答： “我们需要停机 2 小时，把新版的代码包发上去重启。”
可讨论的方案：计分规则可以通过代码或配置管理，关键是版本可追溯、测试充分、变更经批准并可回退。采用配置热更新时，也要确保进行中的任务和历史报告仍对应正确规则；JSON本身不保证零风险，合理维护窗口也不等于架构不合格。
5. “你们的系统能通过国家的‘等保三级’测评吗？”
系统选型时，应先由医院信息安全负责人明确系统边界、定级与适用要求，再核查相应的备案、测评和整改材料。不能只凭医院级别推断每一个软件都适用同一等级，也不能把厂商说“支持等保”当成具体部署已经通过测评。
可要求厂商说明哪些安全能力由产品提供、哪些依赖部署环境、哪些工作由医院或第三方承担，并把交付证据、整改责任与费用边界写清。是否需要额外实施工作，应按项目范围判断。
总结
采购医疗级心理系统，绝不能只看界面漂不漂亮、量表多不多。
只有通过极其尖锐的架构拷问，逼迫厂商亮出他们在内外网穿透、字段级强加密、多租户物理隔离以及等保合规等底层基建上的真实肌肉，医院才能买到一套真正能抵御黑客与内部泄露、守卫患者生命隐私的数字堡垒。