首发：~第65章 复盘桌上的刀
周砚回答：“断网会造成更大范围混乱，且会被拍成‘系统崩溃’。降级策略能把强制链路拆掉，让对手失去引爆点。”
梁总点头：“这点我认可。降级是主动控制，不是被动崩。”
周砚继续：“第三条，OD-OP-001。11:22核验台出现一名穿非统一马甲人员，大声宣布‘涉嫌违规，立即停止扫码登记’，试图制造‘被监管叫停’的画面。我按流程要求其出示工单或证件，并要求PMO确认身份。PMO现场确认不认识该人，安全支持介入带离核实。固定机位完整记录全过程，包含身份核验、口径说明与秩序维持。”
他点击视频链接，播放了不超过二十秒的片段：周砚的声音清晰、稳定；马甲人员的胸牌模糊；PMO同事一句“我不认识他”干脆落地；安全支持人员介入带离。视频结束，他立刻切回索引表。
周砚没有让视频播太久，因为对手最擅长抓你“长片段里某个细节”。短片段只展示关键动作：核验、否认、带离。
“以上三件事构成开放日现场异常干预的核心链路。证据链由编号固化、由内控签收、由固定机位记录。责任链需要从三个方向追溯：谁能把异常卡片放到礼品台、谁能在侧门区域布置设备、谁能动员外包人员制造口径场景。”
周砚说完坐下，没有加任何情绪词。
会议室安静两秒。
然后，阿远开口了。
他没有直接否认证据，而是换了一个更隐蔽的角度：“我认可周砚的现场处置能力，今天也看到确实有异常。但我还是想提醒一下，我们要避免把偶发事件过度定性为‘有组织干预’，这样会让合作方和甲方产生更大疑虑。尤其是那个便携设备，可能就是路由器忘了拿走；那个马甲人，也可能是外包临时工没搞清楚流程，自以为在提醒风险。我们现在更应该把重心放在对外口径收敛，不要内部互相指责。”
这段话说得很漂亮：既不攻击周砚，又把“有组织干预”拉回“偶发误会”；既看似关心甲方感受，又暗含“别上纲上线”的逻辑。
周砚没有立刻反驳。他等梁总和内控先出声，因为这不是他一个人的战，而是组织对组织。
果然，法务先抬头：“阿远，你说‘偶发’，依据是什么？我们在法务语境里不以感觉定性，只以证据指向。那张引导卡片的短链页面设计明显带有诱导条款；伪装设备SSID与访客网高度相似；马甲人有明确的口径脚本——他说出‘强制收集手机号、短链跳转、立即停止扫码登记’这种关键词组合，不像误会。”
信息安全负责人接话：“伪装设备不是‘忘了拿走’能解释的。设备放置点位靠侧门电源角落，隐蔽且便于覆盖入口区域。SSID命名刻意模仿，MAC记录显示设备为独立热点设备，而非我们现场设备。我们会把它作为潜在攻击证据处理。”
阿远的表情有一瞬间僵住，但很快恢复：“我不是说一定是误会，我是说我们要谨慎，别把事情说成阴谋，容易引发更大风险。”
梁总这时开口，声音不高，却让会议室重新归位：“谨慎不是弱化，谨慎是证据到哪定到哪。现在证据指向‘有人试图制造舆情画面’，我们就按这个方向追溯。阿远，如果你有不同意见，请拿证据。”
阿远沉默，转而把矛头稍稍偏移：“我也想问一个问题，固定机位录像、封存编号、现场手册封版——这些动作是不是在现场造成了不必要的紧张？访客会不会因此觉得我们内部很混乱？”
这是“预谋标签”的另一种表达：你准备得太充分，所以你可能别有用心。
周砚这次抬眼，平静回应：“固定机位只记录关键动作，不对外发布，访客基本无感。封存动作是为了证明‘我们不诱导、不强制’，是对外部质疑的反证。现场手册封版是为了让口径统一，避免混乱。结果你们也看到了：异常出现时，现场没有爆炸性混乱，访客仍可参观。”
他停顿一下，补一刀，但仍然不带情绪：“紧张来自异常事件本身，不来自记录。没有记录，紧张不会消失，只会变成无法解释的恐慌。”
PMO负责人这时插话，试图把话题拉回“组织动作”：“我理解证据的重要性。但我们现在也需要讨论流程协作。比如降级策略是否需要提前与现场总协调确认？现场总协调当时是阿远，如果降级动作未同步，现场协调会受到影响。”
周砚看向他：“降级策略写入封版手册，版本V1.4，封版邮件已抄送PMO、阿远、梁总、内控。降级发生时，我现场口头同步阿远，并在现场日志OD-LOG记录。固定机位也记录了我下达降级口径的时间点。如果你认为需要更强制的同步机制，可以在SOP里加‘降级触发后一分钟内对总协调对讲确认’，但这不影响降级动作的合法性。”
PMO负责人点点头，但表情明显不舒服。因为周砚把“你们没看邮件”这件事用事实钉在桌面上，没有给他们留下“未同步”的口径空间。
市场部负责人这时终于开口，语气带着防御：“我想强调一点，市场部并未参与现场执行。礼品台引导卡片不一定来自我们。我们部门也不希望活动出问题。”
内控负责人抬眼：“我不讨论‘希望’。我讨论‘链路’。市场部与本次事件的关联不来自现场卡片本身，而来自此前物料耗材批次比对与临时领用登记。该部分我们已经调取登记记录，涉及具体领用人。今天会议重点是开放日异常证据链，市场部链路会在后续追溯会单独展开。”
市场部负责人明显松了口气，却又有些不甘：“那我们今天结论到底是什么？是要报警吗？还是内部处理？”
法务接话：“目前不直接下‘报警’结论，但会按两条线推进：一，内部追溯，确认是否存在内部人员协助外部干预；二，外部取证，向短链服务商、外包公司、设备供应链发取证函，必要时移交公安。是否报警由证据完整度与风险评估决定。”
信息安全负责人补充：“同时我们会对现场无线网络方案做升级，增加钓鱼AP检测与异常接入自动隔离。”
梁总敲了敲桌面：“好。现在进入最关键部分：责任链。”
会议室里气氛更紧。
梁总看向内控负责人：“你把你掌握的‘临时账号链路、通用邮箱外部登录、公共电话来电’与现场证据做一个交叉。”
内控负责人翻到另一份材料：“我们初步判断存在同一组手法：
1）通过借用名义与公共资源（公共电话、通用邮箱）制造‘内部发起’假象；
2）通过外部工具（短链、便携设备、外包人员）制造‘现场偶发’假象；
3）通过口径关键词组合制造‘被监管叫停’画面，目的指向舆情打击与节点破坏。
开放日当天出现的短链与伪装设备，与此前通用邮箱短链授权、临时账号异常登录路径，存在逻辑一致性：均试图在关键节点让责任落入灰区。”
她停顿一下，目光扫过阿远：“在此前服务台紧急工单备注中出现‘阿远确认’文本。开放日当天又出现‘现场总协调’口径试图收口。我们需要确认：是否有人持续借用阿远名义推进违规动作，或是否存在口头指令造成流程绕行。”
阿远的背明显挺直了一点，像被点名后本能防御：“我已经说过，我没让任何人绕行。备注写我名字不代表我参与。现场我也一直在，你们说有人借用我名义，你们要拿证据。”
内控负责人没有争辩：“证据在查。今天不下结论。但我提醒你一点：你昨天、前天多次提出‘内部处理、不要封存、不要上报’，这些是事实，有留痕。它们本身不等于你参与干预，但它们会影响事故处置效率。作为现场协调，你有义务支持封存与留痕。”
阿远的脸色瞬间变得更难看。他张口想说“我只是为了避免恐慌”，但在内控和法务面前，这句解释站不稳。
梁总这时没有继续围绕阿远，而是抛出一个更致命的问题：“开放日当天，PMO邮件试图把周砚调整为后台支持。这个动作是谁发起的？依据是什么？”
PMO负责人立刻开口，语速很快：“那封邮件是为了统一协调，避免现场多人指挥造成口径混乱。我们没有针对个人，只是按组织架构优化。”
梁总盯着他：“结果呢？现场出现三次异常干预，如果周砚不在现场，谁来第一时间封存？谁来执行降级？谁来让固定机位记录证据？你所谓的‘优化’差点让我们失去反证能力。”
PMO负责人声音弱了一点：“梁总，我们不知道会发生这么多异常……”
梁总截断：“你们不知道，不等于风险不存在。以后任何涉及风险处置角色调整，必须经内控与法务审核。PMO无权单方面调整风险处置链路。”
这句话一落，PMO负责人脸色几乎白了。这等于把PMO从“协调者”降到了“执行者”，而且还是被公开点名的那种。
周砚坐在后面，没说话。他知道这不是个人胜利，而是组织把“风险处置权”重新归位。只要归位，对手的口径战就失去土壤。
会议继续推进，信息安全开始提出技术整改清单：
—增加钓鱼AP检测；
—访客网接入白名单与设备指纹；
—开放日等大型活动启用临时专用SSID，现场口令动态分发；
—页面增加“域名签名校验提示”与“短链识别提醒”。
