第51章 档案落笔(2/4)

首发：~第51章 档案落笔

“慢一点？”梁总抬眼，语气不高，却像压着火，“账号保护模式影响交付权限，影响项目节奏，你跟我说慢一点？”

阿远立刻改口：“我不是那个意思。我是说，追溯要有边界，别把各部门搞得互相不信任。”

周砚没有跟阿远争辩，他只补了一句事实：“我已经按最小化权限配合，所有交付动作均留痕。现在的问题不是‘信任’，是‘交付通道稳定性’。只要通道被反复触发保护模式，项目就会断档，这是客观风险。”

高岚把笔记本翻了一页，语气冷静：“我们需要回答两个问题：第一，302事件的链路是否可以被解释为误操作？第二，如果不是误操作，组织层面如何止损并防止再次发生。”

她看向安全部负责人：“计划任务的创建来源能追溯吗？是谁创建的？”

安全部负责人摇头：“计划任务创建本身记录在System日志里，但创建者账户信息需要进一步从Security日志和任务计划程序本地记录提取，当前提取件还不完整。我们需要对设备做更深的取证。”

梁总转向媒介主管，语气更直接：“你的笔记本为什么会出现同一个HID设备实例ID？”

媒介主管的脸色瞬间更白，但他强撑着：“我们媒介组做短链测试、表单跳转，有时会用一些外接设备做自动化输入测试……这种设备不是不可能出现。”

周砚没抬眼，他知道对方会这么说。把一个注入器包装成“自动化测试工具”，是最便捷的自救路径。

高岚没有情绪，只问：“你说的‘自动化输入测试’，有没有审批？有没有资产登记？有没有使用记录？是谁在用？用在什么场景？测试为什么需要在302会议室公用电脑上做？”

这四个问题像四根针，精准刺向逻辑空洞处。

媒介主管的嘴唇动了动，没立刻答上来。

阿远试图替他圆场：“302是公用会议室，有时候临时借用很正常，没登记也是常见情况。我们不要把临时使用放大成问题。”

高岚抬眼：“临时使用不是问题。问题是：临时使用发生在监控缺失时段，紧接着出现非授权外接设备与计划任务创建，并导致账号保护模式触发。把这些串起来，临时使用就不再是中性，行为。”

梁总拍板：“先别绕。媒介主管，你回答高岚的问题：有没有审批？有没有记录？谁在用？为什么会出现在302？”

媒介主管明显开始出汗，他把笔夹在指间，指节发白：“审批……这类小工具一般不走审批。记录……我们组内部有时候也不会留。至于谁在用……可能是我，也可能是组里的人。302那天……我不记得去过。”

“不记得去过。”周砚在心里把这句话记下，脸上没有任何表情。

高岚把这句话写进笔记本，抬头：“你说不记得。门禁抓拍原始件与门禁记录可以核验‘刷卡动作对应的人形’，如果刷卡时段与你相关人员重叠，我们会要求你解释。你现在的回答会进入纪要。”

媒介主管的喉结再次滚动。

梁总把视线转向法务：“投诉线索与媒介组关系是什么？”

法务专员把那张投诉截图拿出来：“来源是本地房产自媒体私信，附了一张所谓内部表格。周砚已提供归档证据，表格与归档版本不一致。媒介组负责外部沟通与舆情监测，需要追溯该截图传播路径、最早出现时间、以及是否有内部人员向外传递。”

媒介主管立刻反驳：“我们一直在控舆情，怎么可能自己放出去？那是外部造谣！”

周砚这时才抬头，语气依旧平稳：“我同意不讨论动机。但有一条事实需要纳入纪要：该投诉截图与归档版本不一致，且与项目对外资料清单不匹配。要证明它是外部造谣，需要媒介组提供传播链路证据。否则只停留在口头否认，无法止损。”

梁总点头：“对。媒介组拿证据，不拿情绪。”

高岚补充：“传播链路包括：该截图最早出现的平台、最早时间戳、转发路径、以及与公司任何账号是否存在关联。如果无法追溯，至少要形成‘缺口清单’与‘止损动作’。”

她看向周砚：“你这边项目交付线目前的状态是什么？会不会被调查影响？”

周砚把另一份材料推出来，是《开放日执行进度+预约转化趋势》：“截至D4，确定预约35，时间段分布已同步甲方。对外资料发放已改为分批私信，仅发资料清单与证据路径，避免平台风控。个人信息处理按承诺执行，脱敏导出仅三项必要字段，审批链路与日志齐全。项目可以继续推进，但前提是交付账号权限稳定，不再被异常触发保护模式反复中断。”

梁总直接问安全部负责人：“能不能先给周砚的账号稳定通道？别再动不动保护模式影响交付。”

安全部负责人点头：“可以做两件事：第一，提升账号风控阈值并绑定二次验证，仅允许在周砚指定设备登录；第二，对302公用电脑彻底隔离，不允许任何账号登录，避免再次触发。前提是我们要尽快完成设备取证，否则风险长期存在。”

梁总拍板：“就这么做。今天会后立即执行。纪要写清楚：保证交付通道，追溯继续推进。”

HR主管终于开口，声音依旧温柔，但内容明显带着试探：“既然要升级为安全事件流程，那周砚这边的试用期复核是否需要重新评估？毕竟牵涉到账号使用风险……”

梁总抬眼，语气冷：“别把安全事件当成用工工具。安全事件是组织风险，不是个人道德审判。周砚的责任边界以证据为准，没证据别上结论。”

HR主管脸上的笑意僵了一下，低头不再说话。

高岚把话接过去：“用工结论不在今天范围。今天只确定两条：事实链路与动作项。后续如需涉及个人责任，必须基于完整取证结论与明确责任边界。纪要里会写清楚。”

会议室的空气像被抽走了一层雾，变得更硬、更清晰。

接下来，进入最关键的一段——动作项落纸。

高岚翻开笔记本，逐条念出她拟定的动作项，语速不快，每一条都像钉子：

“动作项1：信息安全部于今日18:00前完成对302公用电脑与媒介主管笔记本的封存取证计划，列明取证范围、日志类型、保全方式、预计交付时间。责任人：信息安全部负责人。”

“动作项2：物业门禁抓拍原始件由安全部调取并封存，监察内控在场见证，形成封存记录。责任人：信息安全部负责人+监察内控。”

“动作项3：资产管理系统中出现同一HID设备实例ID的终端列表由安全部导出并交监察内控，形成筛查清单。责任人：信息安全部。”

“动作项4：媒介组于今日20:00前提交投诉截图传播链路初步报告（最早出现时间、平台、转发路径、关联账号核验情况），无法追溯的缺口需列明。责任人：媒介主管。”

“动作项5：项目交付通道稳定措施立即执行：周砚账号绑定指定设备登录+二次验证；302设备隔离禁用登录。责任人：信息安全部。”

“动作项6：项目交付节奏保障：周砚继续负责版本管控、数据口径统一、复盘答疑与开放日现场风险记录；阿远负责资源协调与团队调度，禁止任何非归档版本对外使用。责任人：周砚+阿远。”

“动作项7：所有对外资料发放按‘资料清单+证据路径’执行，不得发送疑似内部截图。媒介组与运营组对外口径统一，出现舆情异常30分钟内上报梁总。责任人：媒介主管+运营负责人。”

“动作项8：下一次专项沟通会时间：48小时后同一时间，汇报取证进展与传播链路结论。责任人：监察内控。”