『如果章节错误，点此举报』第(3/3)页
次动作都变成他的证据。
13:36，信息安全部的邮件终于到了，标题短得像一把钥匙：《302公用电脑本地事件日志（摘录版）》。
周砚点开附件，手指几乎没有停顿。日志是摘录，但仍然包含几条足够致命的信息：
18:45:12 —— 设备从休眠唤醒；
18:46:03 —— USB存储设备插入（设备序列号：XJ7-3A9-…）；
18:47:21 —— 本地脚本任务启动（任务名：OfficeUpdate_Check）；
18:58:40 —— 远程协助服务启动（进程：QuickAssist.exe）；
19:01:02 —— 登录失败（账号：zhouyan，失败原因：密码错误）；
19:01:36 —— 登录失败（账号：zhouyan）；
19:02:05 —— 登录失败（账号：zhouyan）；
19:03:11 —— USB存储设备移除（设备序列号：XJ7-3A9-…）。
周砚的指尖停在“USB序列号”上，眼神冷得像刀。
监控缺口遮住了人，但遮不住物理痕迹。USB序列号是铁证——它不需要摄像头，不需要门禁，它存在于设备内部的事件链里，无法靠一句“无法锁定责任人”抹掉。
更关键的是：USB插入时间18:46:03，几乎与门禁记录里“王XX 18:46进入”重合。监控恰好从18:47缺失，这意味着这支USB的插入动作，很可能发生在监控断联前的那几十秒里——对方把缺口卡得很准，但日志把那一秒锁住了。
周砚没有立刻冲动去喊“就是他”。他做了两件更稳的事：
第一，把日志原件下载、生成哈希、上传共享盘“302追溯/事件日志”目录，留言区写明“摘录版已收，待申请完整原始日志与设备封存证明”；
第二，新建文档《302攻击链交叉证据比对（门禁×事件日志）》，把门禁记录与事件日志按时间轴对齐，用红色标注重合点。
13:58，他给信息安全部负责人回了一封邮件，措辞比以往更硬，却依旧只谈事实：
主题：《请求提供USB设备序列号归属与完整原始日志（302追溯关键交叉证据）》
正文三句：
“1）请提供事件日志中USB设备序列号（XJ7-3A9-…）对应的资产归属信息：领用人/部门/领用记录（含领用时间与审批链）；
2）请提供302公用电脑涉事时段（18:30-19:10）的完整原始事件日志（非摘录），并出具设备封存与取证链条说明（封存时间、封存人、提取人、哈希校验），确保追溯证据可用于后续合规审计；
3）基于该USB插入/移除与登录失败触发的时间链条，请同步评估是否存在远程协助进程启动（QuickAssist.exe）被滥用的风险，并提供对应连接记录（如可提供）。"
发送成功，他截图归档，更新《302追溯缺口清单》：缺口正在被USB序列号补齐，追溯重心从“监控缺失”转向“资产归属与取证链条”。
15:06，梁总的电话打进来，声音低沉，背景里隐约有会议的回声：“你把USB那条发我看。”
周砚把《交叉证据比对》PDF发过去，语气简短：“门禁18:46王XX进入，事件日志18:46:03 USB插入，19:03 USB移除，19:01-19:02三次登录失败触发保护。缺口在监控，但物理痕迹在日志里。下一步是查USB归属与远程协助记录。”
梁总沉默两秒，声音更冷：“好。你别出面去盯人，我来压安全部拿资产归属。你继续把项目节奏推下去。终评那边他们想搞协作定性，你按证据打。”
“明白。”周砚回。
挂断电话，周砚没有放松。梁总帮他压安全部，意味着对方的时间窗口更窄了。越窄，越可能出昏招：篡改资产记录、让USB变成“公用U盘”、让归属指向一个无关员工。于是他立刻在共享盘里新建一个“资产归属追溯”子目录，把所有邮件与日志哈希放进去，确保后续任何“归属变更”都有时间戳对比。
16:18，韩策的私信又来了，语气带着一股被逼急的冷：“你今天在会议室把话说得太死了。协作这东西不是靠你堆证据堆出来的。你这样只会让团队更排斥你。你要想转正，最好收一收。”
周砚看着这条消息，手指没有停顿，回复只写一句：“协作可以谈感受，但终评只能用事实。若有具体事例，请在纪要里列明，我会逐条改进并留痕。”
发完他照例截图归档，放进“协作评价/对方主观施压记录”。不是为了报复，而是为了证明：对方的“协作”更像权力姿态，而不是改进建议。
17:02，信息安全部终于回了邮件，只有一句：“USB资产归属信息需经资产管理部门核查，预计明日中午前提供。”
周砚没有回“收到”就结束。他补了一句：“请同步资产管理部门核查工单编号与预计完成时间，便于审计追溯。”然后截图归档。
他知道，他们会拖。拖到终评结论先出，拖到他转正失败，拖到项目关键期过了，再把USB归属“模糊化”。所以他要把“拖延”也变成事实链的一部分：谁拖、拖多久、拖的理由是什么。
18:31，王珊按约定发来一条信息：“甲方希望周五晚上再加一场线上答疑，把‘预约到访流程’讲清楚，顺便澄清一下外面那波传言。你能不能出一版‘答疑脚本’？还是三句口径那套，简单、稳。”
周砚看了一眼时间，指尖没有犹豫：“19:30前发你脚本v1.0，附Q&A口径与证据入口。答疑不谈传言动机，只谈核验路径与预约流程。”
这就是他最想守住的节奏：不管内部怎么折腾，外部动作要持续产出结果。结果越多，内部裁决越难乱来。
19:12，HR主管的邮件如期而至，标题不再温柔：《终评预审会议纪要（草稿）请确认》。
周砚点开纪要，第一段写了成果，第二段写了风险控制，第三段果然写了“协作评价”：措辞非常“聪明”——没有具体事例，却用了几句典型的模糊定性：
“周砚在现场管理中较为坚持个人流程，需进一步提升与临时负责人的协同效率；沟通方式偏强势，需注意团队感受。”
周砚的视线冷了下来。
他们试图把“事例要求”绕过去，把模糊定性写进纪要。一旦纪要签字，这两句话就会成为终评结论的合法弹药。后续不需要证据，只需要引用：“纪要已写明。”
周砚没有在邮件里争吵。他打开纪要，用修订模式逐条标注：
- “坚持个人流程”修改为“坚持项目已固化口径与版本流程（详见v1.1口径卡及开放日现场记录），该流程为团队统一标准，非个人流程”；
- “协同效率需提升”要求补充“请列明具体事例：时间点/事项/参与人/影响指标/可核验证据路径”；
- “沟通方式强势”要求补充“请列明具体措辞与事件场景，或删除该主观描述，不纳入终评依据”。
他在邮件回复里写得极短，却把底线钉死：
“纪要涉及用工终评与协作评价，请按事实修订。协作负面评价未列具体事例与证据路径，不予确认签字。已在附件中以修订模式标注需补充/删除之处，请据此更新终版。”
发送成功，他截图归档，把“纪要草稿版本”也存入共享盘，命名为“纪要草稿_v0.9_含主观定性_未确认”。
他知道，这一夜对方不会安静。他们要么补事例（很可能捏造），要么删除定性（不甘心），要么换一种更阴的方式：用“多人反馈”来堆主观感受，把主观包装成“客观共识”。
周砚把电脑合上，文件袋封条压紧，签名落下。走出办公区时，走廊的应急灯把他的影子拉得更长，像一条从证据延伸到裁决的线。
电梯门合上那一瞬间，手机又震了一下——不是短信，是一封来自未知发件人的匿名邮件，只有一句话，像从阴影里伸出来的指尖：
“你把协作变成审计，最后审计的会是你。”
周砚看着那行字，眼神没有波动。他没有回复，也没有删除。他把邮件完整导出eml文件，生成哈希，存入“合规记录/威胁与施压”目录，备注“匿名恐吓邮件，可能与终评协作定性相关”。
他很清楚——当对手开始用匿名恐吓，说明他们的合法工具已经不够用了。合法工具不够用的那一刻，才是证据链真正开始生效的时刻。
真正的裁决从来不在那张“协作评价”的纸上。
裁决在每一个时间戳里，在每一次留痕里，在每一次对方试图模糊却被他逼回具体的瞬间里。
明天，USB归属会给出一个名字。
协作的刀，也会试图落下。
他只需要做一件事：让刀落在铁证上，而不是落在空气里。
第30章 纸面裁决 我把废案写成爆款
