第21章 交叉证据(2/3)

首发：~第21章 交叉证据

另一个领导问：“你们怎么保证资料不会被人截取、伪造，再反过来攻击你们？”

周砚没有说“我们绝对不可能”，他只说机制：“资料版本号+哈希清单；对外资料只发‘核验版’，每次发放都记录时间戳；群内置顶证据路径；必要时可以对外声明‘以核验路径为准’。伪造可以发生，但伪造无法通过核验路径。”

这句话落下时，王珊明显松了一口气——她要的就是这种“答得住追问”。

会议最后，甲方领导只说了一句：“可以。按你这套机制继续跑。开放日现场我会派人抽查，你们准备好核验材料就行。”

周砚回：“明白。抽查项我会提前写成清单并固化版本，避免现场口径漂移。”

09:28，会议结束。

他摘下耳机时，取证镜像刚好到最后5%。严负责人看着进度条：“你这边会开完了？”

周砚“嗯”了一声，没有解释。对他来说，解释会让别人觉得你在求理解；交付结果才让别人不得不承认你是必需。

09:33，镜像完成，安全工程师当场生成取证副本哈希，写进清单。周砚逐字核对：哈希值、时间戳、取证范围最小化条款、不得扩用条款、封存编号。确认无误后签字，并要求给他一份扫描件抄送梁总。

严负责人点头：“会发。”

周砚拿到扫描件的第一时间就归档——任何“我答应了你”都不算数，只有“我写进了纪要并签字”才算数。

10:07，刚回工位，项目群里出现了新的波动。

阿远没有公开发难，他用了更隐蔽的方式：在群里@运营与设计，要求“开放日海报所有数据口径由他最终确认后再发”，并把截止时间卡在中午12点前——这是典型的“卡点控制”。一旦运营等他确认，预约推进就会延迟；一旦延迟，王珊那边现场接待安排会被动；一旦被动，甲方就会觉得“你们执行不稳”，从而把“机制认可”变成“机制看起来好但落地不好”。

周砚没有当众和阿远争确认权，他只在群里发了一条执行性通知，短、硬、无情绪：

“开放日对外物料数据口径以共享盘《口径说明页-v1.3》为准；任何新增数据表述需先更新口径说明页并留痕，不得临时口头修改。为不影响预约推进，海报按既定口径先行发版，若需优化版式可另立v2.1不改口径。”

他同时把这条信息抄送梁总单独IM：“阿远试图卡确认点影响推进，我已用口径说明页固化并先行发版，不让节奏断。”

梁总回：“继续跑，别停。”

10:26，王珊发来一条新需求：“领导要看开放日的‘到访时间段容量规划’，怕现场挤爆。你们能不能给一个‘每小时接待上限+分流方案’？”

周砚没有把问题丢给运营，而是自己先把“容量规划”写出来：每小时接待上限、签到分流、核验台停留时间、样板间动线、答疑点位。写完之后，他把方案拆成一页纸，附上“数据依据”：当前预约时间段分布表、历史开放日平均停留时长估算、接待人员数量与角色分工。然后生成哈希，归档，再发给王珊。

他很清楚，甲方领导现在已经不是只看“预约数”，而是在看“你们能不能把预约变成现场体验”。体验才是最终信任。

11:14，严负责人发来邮件，附件是《取证清单扫描件》与《取证副本哈希证明》。抄送梁总、法务、HR。邮件正文一句话：“取证已完成，暂不影响周砚项目交付权限。”

周砚看到“暂不影响”四个字，心里没有放松，反而更警惕：这是留口子。对手常用的策略就是先让你“暂不影响”，等你放松后再用“补充调查”或“新的发现”反复拉扯，让你永远处于被动。

他把邮件归档，更新合规清单，把“暂不影响”的措辞标红备注：“需防止后续扩大解释”。

11:58，午餐时间，梁总突然发来一条消息：“安全部那边初步发现计划任务创建不是你工位账号，但授权路径涉及一个‘临时共享凭证’。下午14:30开内部调查小会，你来。记住：只谈事实，别谈情绪。”

周砚回：“收到。我会带索引表与核验点清单，要求纪要落纸。”

他吃午饭时没怎么咀嚼，脑子却在把“临时共享凭证”这几个字拆开：如果对方用“共享凭证”做文章，就可以把责任往“管理不当”推；如果共享凭证的申请、发放、使用都缺乏审计链路，那就是天然的甩锅工具。对手很可能早就准备好了：把某个凭证说成“你参与过”，哪怕你没有，也能拖你进泥潭。

13:42，内部调查小会在梁总办公室旁的玻璃会议室。

参会人员不多：梁总、严负责人、法务专员、HR主管、以及一个周砚不认识的IT运维经理。桌上放着一份打印出来的审计摘要，标题写着《302事件：计划任务创建审计初报》。

梁总开门见山：“今天把事说清楚。严总，你先讲你们查到什么。”

严负责人翻开摘要：“计划任务创建发生在18:47，创建动作来源于跳板机会话A，使用了一个临时共享凭证token。该token在18:45由运维系统生成，授权范围包括监控网段设备配置读取与任务下发。token的申请记录显示为‘设备异常排查’，申请人字段目前显示为‘运维共享账户’，具体是谁发起还在查。”

周砚听到“运维共享账户”时，心里冷了一下——共享账户是责任稀释的温床。只要共享账户存在，就很难锁定到人；锁不到人，就可以回到“无法确认”，再回到“账号持有人管理不当”。

他没有立刻开口，而是等严负责人说完。

运维经理接话，语气有些不耐：“共享账户是为了应急排查效率，我们不可能每次都走个人审批。那天监控确实有告警，我们就开了临时token排查。谁拿去做了什么，我们也不一定能完全追到。”

法务专员顺势补刀：“所以这件事有可能是流程缺陷，不一定是个人恶意。公司会完善流程，但不代表周砚就完全无责。毕竟异常触发点围绕他的账号发生——保护模式、权限限制、项目节奏影响，客观上与他有关。”

这句话的核心不是事实，是“倾向性定性”：流程缺陷也好，个人恶意也好，最后都要把“与他有关”当成粘贴条贴在他身上。

周砚终于开口，语气平稳到近乎冷：“我只问四个可核验问题，回答完，我们再谈结论。”

他竖起第一根手指：“第一，token的生成与使用是否有完整的审计链：生成时间、生成者会话ID、请求来源IP、请求设备指纹、使用时的来源IP与设备指纹。如果有，就把这些字段补齐；如果没有，那这不是‘流程缺陷’，是‘审计缺失’，缺失本身就是风险，需要优先修复。”

第二根手指：“第二，18:47创建任务的跳板机会话A，关联的登录方式是什么？密码登录、证书登录、还是二次验证？如果是共享账户+无二次验证，那就是**险配置。请把配置现状写进纪要，不能用一句‘我们不一定能追到’带过。”

第三根手指：“第三，门禁记录显示18:46王XX进入302，AP接入记录显示其设备在走廊AP覆盖段接入。请问这条交叉证据在你们的初报里是否写明？如果没有，请补写，并说明为什么没有纳入。”

第四根手指：“第四，外包陈某在取证纪要中陈述：王XX要求其配合检查，并试图引导其签误操作说明。请问这条证言与IM录屏是否已纳入核验？如果未纳入，请明确纳入时间表，避免调查方向被‘共享账户’稀释。”

会议室里短暂安静。