电梯“叮”的那一声落下，像一枚金属针扎进寂静里。
周砚下意识抬眼，门口的玻璃上先映出一抹移动的影子――步伐不急，却有一种不容置疑的节奏。影子停在门外一瞬，门把手被握住，轻轻一转。
进来的不是阿远。
是梁总。
他身后跟着两个人：一个是公司监察线的负责人，姓韩，平时很少在业务层露面；另一个是集团信息安全的总监顾明，身形瘦高，眼神像一把干净的尺。三个人走进来，像把走廊的空气也一并带进了会议室，温度瞬间降了两度。
梁总没寒暄，直接把外套搭在椅背上，视线扫过桌面摊开的封存清单、证据索引表、权限变更截图、碎纸残片照片，语气平得像在问天气：“十五分钟，我要你把现在的‘事实链’和‘阻断链’讲清楚。”
周砚点头，把投屏切到“阶段汇报页”。他没有讲故事，他只讲结构。
“事实链四点。”
他翻页，第一屏是时间轴。
“第一，离线窗口内机房门禁开启，卡号a-4648，时间184759。第二，电梯厅独立摄像头记录到184740左右有人刷卡进入机房方向，拎黑色硬壳箱，时间点与门禁记录吻合。第三，机房终端usb插入事件184805，紧跟进入机房后约6秒。第四，堡垒机凭据a-4648发起对门禁控制子系统会话184812，紧跟进入机房后约13秒。供应商远程维护与配置变更已排除。”
梁总眼皮抬了一下：“排他性？”
周砚翻到“排他性补强页”，不急不慢：“卡号a-4648制卡登记名齐曼，门禁供应商登记由物业邮件证明。齐曼在补证会上承认借卡给阿远，无借用记录，已签字。阿远当日下午提交即时生效离职申请，且在离职前打印了借卡说明、纪要与补强附件，随后工位异常清空，碎纸机桶内发现含‘a-4648、归还1850’等关键词残片，已封存。”
顾明这时开口，声音很低，却字字清晰：“usb插入事件对应的可执行文件路径被删除，事件日志保留。你们做了磁盘镜像吗？”
老赵在旁边补一句：“已做，镜像哈希在案。待进一步恢复被删痕迹。”
周砚把页面切到“阻断链”。
“阻断链两点。”
他指向第一条：“追溯过程中，我被移除门禁审计协作权限，导致关键补证目录访问被拒绝。操作记录显示移除动作由pmo-ops-admin发起，时间是上午九点三十七分，恰好在补证关键节点。该行为已固证，并推动冻结权限变更。”
第二条：“走廊端口监控出现短暂丢帧，与阿远十六点四十一分进入本层的门禁记录时间段相近。结合离线窗口内监控离线事实，存在人为制造‘可证空白’的模式风险。”
梁总没立刻说话。
他把每一页停留的时间都很短，像在确认一个人讲的不是推测，而是能落纸的事实。韩监察翻看封存清单，手指在“碎纸机桶封存”那一行停了停，忽然抬眼问：“封存见证签字齐全吗？”
陆律把封存单往前推：“法务见证签字、信息安全签字、内控签字齐全，照片与哈希指纹附后。”
韩监察点点头，像终于把一枚钉子敲进木头：“可以立案。”
这两个字落下，会议室里像有一块无形的石头砸到地上。不是惊动，而是确定。
梁总把手放在桌面，五指摊开：“现在开始，事情上升到‘监察立案+信息安全事件’级别。三条决定――听清楚。”
他看着韩监察：“第一，立案保全。所有相关系统日志、门禁卡权限、堡垒机日志、nvr录像与电源告警，全部保全。任何人不得删除、不得覆盖、不得手工导出未经登记的副本。违规按毁灭证据处理。”
韩监察应声：“收到。”
梁总看向顾明：“第二，启动集团应急响应。把pmo-ops-admin的登录终端指纹、操作链路、对应人员范围拉出来，做排他性。监控丢帧要追到设备层――是摄像头掉帧、nvr重启，还是网络断链。我要原因，不要描述。”
顾明点头：“两小时给你初版。”
梁总最后看周砚：“第三，你继续保留现场风险处置权限，但从现在起，你的所有动作必须在‘双人见证+编号登记’下进行。你是关键证据链的维护人，不是英雄。别让自己成为突破口。”
周砚答：“明白。”
梁总站起身，像把一个更大的门打开：“还有一件事――阿远。立案后，他不再是‘请假离职’，他是‘关键补证对象’。韩监察，你走程序。hr配合冻结离职结算流程，保全其公司资产借用记录与出入记录。顾明，你们评估是否触发刑事风险点，必要时走外部报案路径。”
“是。”两人几乎同时回答。
梁总准备离开，又停住：“周砚，跟我来。你把材料带上。”
---
梁总把临时战情室设在另一侧的小会议室，门一关，外面的喧嚣像被切断。战情室里只有白板、投影、几把椅子，桌上已经放着一叠打印纸――显然助理提前做了准备。
梁总坐下，指了指对面：“你坐。把你最担心的风险说清楚。”
周砚没有客套：“最担心的不是阿远跑，是有人抢先定义叙事，把事件压成‘个人行为’或‘管理疏漏’，从而切断追溯到更高节点的可能。其次是证据污染――日志覆盖、录像循环覆盖、终端被重装。第三是舆论先手――有人把内部截图放出去，把开放日项目做成负面舆情，逼公司内部快速止血，止血方式往往是‘找一个人承担’。”
梁总点头，像在听一份风险评审：“你的应对建议？”
周砚把准备好的“建议页”投出来：“三项。第一，冻结与保全要快过覆盖周期。监控nvr如果是循环覆盖，得立刻做镜像与离线备份。堡垒机、门禁子系统、usb事件日志也要按保全流程封存。第二，组织口径要提前设定：对外不谈细节，只承认‘内部安全事件已立案调查，业务照常，证据保全完成’，避免细节被人剪辑。第三，内部要立一个‘信息发布窗口’――所有对外、对内通报只从监察法务发，防止有人自发解释造成二次污染。”
梁总看完，抬眼：“你现在像做内控的人。”
周砚笑得很轻：“我只是怕又有人被迫背锅。背锅不是问题，问题是背锅之后下一次还会发生。”
梁总沉默几秒，突然问：“你知道你会被很多人恨吗？”
周砚没有躲：“知道。”
“还做？”
“做。”周砚说，“因为他们恨我，至少说明链路在靠近真相。如果他们喜欢我，那才危险。”
梁总盯着他，眼神里没有赞许也没有否定，只有一种确认：“你这性格，适合把复杂事做成可审计。以后别只做文案。”
周砚没有接这句话。他知道现在接任何“以后”，都会让现在的链路变形。此刻最重要的是把“空白上的名字”写到该写的位置。
门外传来敲门声。梁总的助理进来，递上一张纸：“顾总监发来第一轮结果。”
顾明的结果很快。快到像早就等着某个触发点。
纸上只有几行要点，但每一行都重：
1）pmo-ops-admin在上午九点三十七分的权限变更操作，来源终端为“it运维工位区a排07号位”，终端指纹匹配运维工程师林启。
2）该终端同一时间段登录过阿远的oa账号（异常：同一终端短时切换两人身份）。
3）监控丢帧并非摄像头故障，nvr在1639-1643发生一次“服务重启”，触发方式疑似“远程管理口重启命令”。远程管理口的访问来自内网一台运维跳板机。
梁总看完，脸色没变，但周砚能感觉到空气又冷了一层。
“林启是谁？”梁总问助理。
“it运维，负责部分基础设施。”助理答，“归信息技术部，平时跟pmo也有接口。”
梁总把纸放下，看向周砚：“你说的更大的手，开始露指纹了。”
周砚心里一紧。林启不是业务线的人，他属于“系统能动手”的那一群。也只有这一群人，才有能力让监控丢帧、让权限变更、让日志难以追。
梁总站起身：“走。叫顾明、韩监察、陆律、老赵都来。我们当场做一件事――把林启请进战情室。现在。”
---
十五分钟后，战情室坐满了人。
门再次被推开时，进来的不是林启本人，而是顾明先一步进来。他对梁总点了下头：“人找到了，正在来。我们已经按保全流程控制其终端与账号，但还没做当面询问。”
梁总看了眼韩监察：“先按监察程序走，现场全程录音录像，问话要点我给你。”
韩监察点头：“明白。”
林启被带进来的时候，脸色很白，手里还拿着一支没盖盖子的中性笔，像刚从工位被叫起，连笔帽都来不及找。他看见这么多人坐成一圈，眼神明显慌了一瞬，但很快强行把慌压下去，坐在指定位置，双手放在膝盖上。
韩监察开门见山：“林启，今天上午九点三十七分，pmo-ops-admin从你的终端发起过权限变更，移除周砚对门禁审计目录的访问权限。你解释一下，这个操作你是否执行？如果不是，谁使用了你的终端？”
林启喉结滚了一下：“我……我不知道。我那时候去机房了，工位可能有人――”
“有人？”韩监察截住，“你终端未锁屏？”
林启的脸更白：“我……就离开了几分钟。”
顾明把一张截图投到屏幕上：“你的终端同时登录过阿远的oa账号，发生在九点三十六到九点三十八之间。你解释一下：为什么你的终端会出现阿远的账号操作？是谁用的？你说的‘有人’，是谁？”
林启嘴唇动了动，像想找一个最不致命的答案：“阿远……阿远找我帮忙，说他的账号权限不够，要我帮他开一下目录权限……”
周砚听到这里，心里一冷。
阿远想要目录权限，是为了看证据包，还是为了删证据包？如果他能在短时间内打印那三份文件，并在离职前清空工位、碎纸残片还出现“归还1850”，说明他当时非常清楚追溯链路的走向。
他不是被动的“被点名”，他是主动的“抢先布局”。
梁总这时开口，声音不高，却压得全场安静：“林启，我不听你讲‘帮忙’。我只问两个问题。第一，谁让你用pmo-ops-admin做权限变更？第二，nvr在十六点四十左右发生远程重启命令，来源跳板机访问，你是否参与？”
林启的手指开始发抖，握笔的力度把指节挤得发白：“我没有重启nvr……那个我真的没有……权限变更……是齐姐――齐曼让我做的。她说周砚在乱查，会把项目做坏，会影响公司跟甲方的关系，让我先把他权限收一收，等事情平稳再给回来。”
齐曼坐在角落，原本保持的镇定在这一刻碎了一道缝。她猛地抬头：“你胡说什么？”