57章 审计回声(2/3)

首发：~57章 审计回声

会议室的投影已经亮着，屏幕上是一张时间线图：16:52—17:05，关键目录审计事件密集出现；16:57，admin02尝试覆盖预约脱敏名单；17:01，系统拦截并告警；17:08，运维平台出现一次远程会话断开重连。

高岚开门见山：“先结论：admin02不是从你工位登录的，也不是从302公用电脑直接登录的。来源是‘远程运维平台’——有人通过运维平台以管理员身份发起了覆盖操作。”

许工的喉结动了一下，像想解释，又不敢抢话。

高岚继续：“运维平台的远程会话发起端，是市场部的一台终端。终端编号MKT-17，使用人登记——”她停顿半秒，“王XX。”

周砚的眼神仍旧平静，但心里那条链路在瞬间闭合：门禁里出现的“阿远助理王XX”、监控缺口起点的刷卡、现在又是市场部终端MKT-17。对方以为监控缺口能遮住前置动作，却没想到高权限操作留下了更硬的数字指纹。

信息安全部代表终于开口，语气比以往更谨慎：“我们还在核验王XX是否存在‘终端被盗用’的可能。终端当时处于登录状态，可能存在他离席后被他人操作。”

“那就查离席。”周砚没有争论动机，只抓关键可核验点，“查当时终端前摄像头、查门禁进出市场部区域记录、查终端的本地输入事件。你们既然能查到终端编号，就能查到USB插拔、键鼠输入、远程控制来源IP。不要停在‘可能被盗用’。”

高岚点头：“已经在做。还有一个更关键的：那通请求临时权限的电话录音我们听了三遍。讲话的人刻意压低声音，但有两个习惯性口癖非常明显——一句是‘别走邮件’，一句是‘来不及’。我们把录音做了声纹比对的预筛，样本库来自公司公开会议录音。”

许工的脸色更白了一点。

高岚没有立即报名字，而是看向周砚：“你昨晚发的外部保全编号给我一下，我要把它纳入内控附件，防止后续有人质疑‘你们自己生成的哈希不可信’。”

周砚把编号写在纸上递过去，动作很稳：“编号已归档，随时可核验。”

高岚接过编号，终于抬起头，声音压得更低：“声纹预筛最接近的，是阿远。”

会议室里空气像被抽走了一截。

信息安全代表迅速说：“声纹只是预筛，不能直接定性。”

“我知道。”高岚的语气没有波动，“所以我们不会用它做结论，只会用它决定下一步核验范围。现在的问题不是‘谁说了那句话’，而是‘谁让远程运维平台动用了admin02’，谁让监控在18:47断联，谁让市场部终端在16:57发起覆盖操作。只要这三条链路有两条能落到同一条授权线上，就够了。”

周砚没有插话。他明白，高岚说的“够了”，不是够定罪，是够让组织不得不处理。组织不需要英雄叙事，只需要风险闭环——有人触碰结果证据、有人滥用权限、有人制造追溯缺口，这三件事足以构成内控事故。

高岚把一份纸推到周砚面前：“这是你今天需要配合签收的《电子数据封存确认单》，确认你提交的外部保全材料来源、生成过程、存放路径。签收不是让你背锅，是让证据进入内控流程。”

周砚看完条款，确认没有“你承认存在违规操作”之类的陷阱，只是事实确认。他签字，落笔干净利落。

签完，他补了一句：“我建议同时封存MKT-17终端的本地事件日志和远程会话记录，避免被清理。封存动作要有时间戳，最好今天10点前完成。”

高岚点头：“已经下令。还有一件事——你今天继续做项目，不要被拖进内部调查的漩涡。调查我们来做，你只要保持交付节奏，把甲方侧的认可持续放大。”

周砚站起身：“明白。”

他离开会议室时，许工追出来两步，声音发紧：“周砚……我真不知道会变成这样。我们运维就是按流程办事，有人说梁总同意，我就……”

周砚没有责怪，也没有安慰，只问一句：“你当时有没有要求对方发邮件确认？”

许工苦笑：“他说来不及，还说‘你要是卡流程耽误项目，后面你扛’。”

周砚看着他：“现在你看到了。卡流程不是耽误项目，不卡流程才是把项目扛到事故里。”

许工的嘴唇动了动，最终什么都没说。

周砚回到工位，第一时间不是开项目群，而是打开“D4日报模板”，把昨天到访结果、预约转化、现场异常封存、核验路径执行情况，用最短的语言固化成一份可以被复核的日报。他不写“有人试图覆盖”，不写“内鬼”，只写：

“16:57出现对预约脱敏名单的覆盖尝试，系统拦截并触发审计告警，相关截图已归档，外部时间戳已固化；现有版本以V1.3为准，不追溯修改。”

他把这句话写在“异常说明”栏里，像把一颗地雷先画出来，再用红线把它圈住：这里有风险，但风险已被控制并留痕。

09:37，他把日报发给王珊，抄送梁总。主题仍旧干净硬朗：

《熙湖云庭到访日结果日报（脱敏口径+核验路径+异常事件封存已固化）》

王珊十分钟后回复：“收到，领导很满意。今天重点是把‘到访-二次预约-锁定意向’的漏斗走起来。你那边把跟进话术也按核验口径写一下，避免销售乱说。”

周砚立刻开新文档：《到访后跟进话术库（V1.0）》。每一句话术都避免夸大、避免承诺、避免模糊词，全部带可核验依据：

“通勤时长我们按实测区间呈现，视频可在官方资料页核验；”

“月供区间以公开利率与首付比例为假设，计算过程可查；”

“如需带家人复看，请选择官方预约入口，填写必要字段并勾选隐私告知。”

他不是在写销售话术，是在给一线人员装上“不会被追责”的护栏。

11:02，梁总的消息发来：“11:30来我办公室。”

短短一句，像把电梯按钮按下。

周砚合上电脑，把文件袋封条检查一遍，带着工位打印出的三份资料：D4日报、话术库目录页、审计告警外部保全编号说明。他敲门进梁总办公室时，梁总正站在窗前，背影看起来比平时更沉。

“坐。”梁总没有寒暄，开门见山，“现场做得不错，甲方那边今天给我发了表扬邮件。你把核验台那套流程写成SOP，明天我让全部门学。”

周砚点头：“SOP我今晚出初稿，明早给你。”

梁总把笔放下，目光转过来：“内控那边我也收到了阶段性情况。你昨晚把结果包同步甲方那一步很关键。有人想动你的成果，动不了。动得越多，露得越多。”