王XX想说什么，嘴唇动了动，最终还是没开口。
08:47，第三台设备：阿远个人工作站。
阿远依旧试图争取：“我这台机子下午还有资源协调，封了我怎么干活？”
高岚把替代终端清单递过去：“内控可以提供临时机，权限由安全部按最小化策略开。你只要配合。”
阿远接过清单，面色僵了一瞬，最终点头：“行。”
09:12，镜像完成第一阶段。
安全工程师把取证硬盘封进证据袋，贴封条，封条上写：设备编号、镜像哈希、时间戳、经手人签名、见证人签名。高岚签了字，安全部负责人签了字，媒介主管签字时，笔尖停了两秒，才勉强落下。
周砚作为见证人之一也签了字。他签得很慢，像签一份不可撤回的合同。
09:26，内控临时会议。
高岚把三份封存确认单摊开，语气依旧平静，却像刀刃落下：“取证开始后出现外联同步行为，属于取证风险点。现在需要确认三件事：一，外联同步是否为系统自动；二，是否存在远程触发；三，是否与302链路同源。”
安全部负责人点头：“我们会在镜像里检索任务计划、启动项、同步客户端日志、以及远程控制软件痕迹。最关键的是：是否存在同一类‘触发机制’。”
阿远立刻接话：“我还是那句话，别扩大。同步也可能是正常行为。”
高岚看向他：“扩大不扩大，取决于证据，不取决于你说的‘可能’。”
媒介主管终于忍不住：“高总，这都快把我当嫌疑人了。我天天做舆情监测，装几个工具很正常。你们这样搞，会影响我工作，也会影响项目对外。”
周砚没有看他，只把自己的关注点拉回项目：“我提醒一个客观事实：对外节奏不能断。今天上午我会同步D5闭环数据给甲方，下午要更新开放日分流与应急预案。取证结论什么时候出来我不干预，但交付线我会按计划推进。”
高岚点头：“这也是我们今天要确保的。安全事件不能拖断业务，但业务也不能成为遮蔽证据的理由。”
09:48，周砚回到工位，打开共享盘。
他先更新《开放日应急预案（V1.0）》，把可能出现的风险按“触发条件—响应动作—责任人—留痕方式”写得极细：
1）外部质
本章未完，请点击下一页继续阅读！