第40章 收口纪要(9/10)

测”走向“可核验的交叉证据”。
视野边缘，蓝色面板安静亮起，提示像一条冷硬的法律条款：
【收口会真正的终点：不是“怀疑谁”，而是让证据链从“可能”跨越到“可证明”】
【行动要点：把日志中的唤醒/USB插入/认证访问与门禁时间线对齐；要求安全部提供USB设备ID与资产归属；终结结论必须写明：是否存在预置行为、预置行为责任归属、对项目交付账号的保护措施】
周砚没有立刻兴奋，也没有立刻发给所有人。他知道，越接近结论，越危险。对手最可能做的不是辩解，而是反咬：说“你私自分析日志”“你泄露安全数据”“你越权获取记录”。
所以他先做两件事：
第一，把分析过程变成“可审计”。
他新建文档《302本地事件日志分析（V1.0）》，只写事实提取，不写推断，不写人名：事件时间、事件类型、事件ID、截图页码。每一条都引用原始日志的行号，像法庭证据一样严谨。
第二，把请求抛回制度链。
他给信息安全部负责人发邮件，标题极短：
《请求补充：USB设备ID与资产归属（用于302追溯终结结论）》
正文同样短：“请提供18:49插入USB设备的设备ID/序列号及资产归属记录（若为个人设备，请说明管理规定及违规处置流程），并说明该USB插入行为是否符合公司安全策略。该补证将用于周四二次收口会终结结论。”
邮件抄送梁总与法务。
发完，他截图归档，更新合规清单。
19:36，梁总回了两个字：“推进。”
短得像命令。
周砚关掉电脑屏幕，靠在椅背上闭眼三秒。疲惫像潮水涌上来，但他的脑子比任何时候都清醒。
他知道周四的二次收口会，终结结论将逼近某个人——至少逼近某个“资产归属”。
而逼近意味着反扑。
那条威胁短信不是最后一次。真正危险的，往往发生在你以为证据已经足够的时候：权限被掐断、邮箱被锁、或者某个“合规调查”突然升级，把你从执行现场拖走。
他打开手机，给王珊发了一条不带情绪的提醒：“本周预约到访推进按计划执行。若你收到任何‘暂停推进’或‘口径调整’的内部通知，请第一时间同步给我与梁总，需以书面纪要为准。”
王珊回：“明白。”
周砚把手机收起，拿起文件袋，封条依旧完好。他走出办公室时，走廊里只剩下应急灯的微光，影