医院信息科的人常说，最难的不是把系统搬上云，而是搞清楚哪些东西不能搬。患者数据涉及隐私，监管有明确要求，上云边界画在哪里，直接决定架构方案怎么写。
边界由什么决定
一是数据属性。病历、检验报告、影像属于个人敏感信息，存储位置和处理方式都要符合个人信息保护相关法律法规。二是行业合规。医疗信息系统通常要过等级保护测评，三级系统对访问控制、安全审计、容灾备份都有硬性指标。三是属地要求。不少地区要求数据留在本地机房或本地可用区，跨区域流转要单独评估。
混合架构是常见解法
典型做法是敏感数据留院内：HIS（医院信息系统）、EMR（电子病历）的数据库跑在院内机房或本地专属资源池上；对外服务和无敏感数据的模块放到云上，比如预约挂号入口、科普网站、报到小程序。两边用 IPSec VPN 或专线打通，院内只对云上开放必要的端口和数据接口，防火墙按白名单收紧。
落地时的几个细节
数据库同步走内网专线而不是公网，链路加密用 IPSec，密钥由院方自己管理。审计日志不能省，登录、查询、导出都要留痕，保留期限按等保要求配置。容灾演练每年至少做一次，手工记录切换耗时，演练不过关的方案等于没有容灾。院内出口带宽要按影像调用量估算：一套 CT 序列几百兆，并发调阅几份就能占满百兆出口。
选型上的务实建议
院内资源吃紧又不想动敏感数据的，可以把前端页面和静态内容放云上，数据库继续留在院内；发展快的民营机构可以整体使用云上高防资源，比如顺云的高防云服务器 S4，先解决互联网侧的 DDoS 攻击和端口扫描，院内核心系统再逐步过渡。
边界不是一刀切，把它画在数据分级之后，合规和效率都能兼顾。