首发：~第20章 取证室的冷白灯
门被轻轻敲了两下，一个熟悉的声音隔着门板响起：“严总，我这边有点补充情况，能进来吗？”
周砚的眼神没有波动，但陈某的肩膀明显抖了一下。
严负责人看向法务，法务点了点头：“可以，但必须说明身份与目的，并记录进纪要。”
门开，王XX站在门口，手里拿着一份纸质材料，脸上挂着那种“我来配合”的笑，笑得很轻，却让人不舒服。他看见周砚，眼神闪了一下，很快恢复镇定：“周工也在啊？我来补充说明一下那天的情况，免得外包同事说不清，造成误会。”
“误会”两个字像一层薄膜，试图把一切定性为可轻易抹掉的误差。
严负责人语气平淡：“你进来可以，但你先说明你要补充什么。提醒你，取证室全程录音，任何陈述都要承担责任。”
王XX点头，坐到陈某斜对面的位置，刻意不看陈某，只对着严负责人和法务：“那天我确实去过302附近，是因为项目资料需要整理，我让陈某帮忙看看监控是不是正常。我们最近一直被人造谣，说我们资料外泄、说我们搞假数据。我只是想确认设备没问题，免得再出乱子。至于计划任务、跳板机这些技术操作，我不懂，也不可能指挥外包去做。陈某如果做了什么误操作，那是他巡检流程的问题，不是我。”
这段话说得很圆滑：承认出现在现场，否认指挥行为；把动机包装成“对抗造谣”，把责任推回“外包流程”。
周砚没有立刻反驳，他只问一个能落在证据上的问题：“王助理，你说你不懂，不可能指挥外包。那你为什么在昨晚与陈某的沟通中使用‘签误操作说明就没事’的措辞？你是否向他提供了‘误操作说明模板’？这些你可以否认，但IM聊天记录与录屏会核验。”
王XX的笑容僵了一下，马上恢复：“我没有说过那种话。周工，你别把你们内部的矛盾往我身上扣。陈某可能误解了我的意思。我只是提醒他按外包流程写情况说明，配合调查。”
法务专员插话：“王XX，你是否与陈某有过私下沟通？有没有要求他签署说明？”
王XX立刻摆出“配合”的姿态：“有沟通，但只是正常的对接。我没要求他签任何东西。外包的说明也不是我能决定的。”
陈某忍不住开口，声音发抖：“你昨天明明说……说梁总在查，让我说是我干的……”
王XX猛地转头看陈某，眼神冷了一瞬，又迅速压回笑：“陈工，你别紧张。我们都是为了把事情说清楚。你如果误操作了，就按流程写说明，不会怎么样。你别被别人带节奏。”
“被别人带节奏”——这又是一句固定话术，把陈某的叙述贬低为受人操控，从而削弱其证词可信度。
周砚没有让两人的对话变成争吵，他直接把问题推回可核验项：“严总，建议此处在纪要里写明：王XX承认18:46-18:49出入302附近，沟通外包陈某检查监控；同时王XX否认指挥跳板机操作与要求签误操作说明。后续核验点：1）IM聊天记录与录屏；2）跳板机命令审计；3）门禁与位置；4）计划任务创建来源账号与会话。结论由系统证据决定。”
严负责人点头：“按这个写。”
王XX见周砚没有和他对骂，反而把他逼进“证据核验”的笼子里，脸上的笑意开始变薄。他突然换了个方向，试图对周砚发起道德攻击：“周工，我理解你做事严谨，但你现在追得这么紧，会不会影响项目节奏？你们开放日刚成功，甲方也满意。公司内部再闹大，对外名声也不好。要不我们内部把这事收口，别让外包同事难做？”
“收口”两个字，和之前阿远建议“暂停”同一个逻辑：用“风险”“名声”做借口，把追溯拖进灰区。
周砚的回答依旧只有事实：“项目节奏之所以能跑起来，是因为风险被控制，而不是因为问题被掩盖。现在影响对外名声的不是追溯，而是异常行为本身。并且，追溯不等于闹大，它是合规流程的一部分。你说要收口，请你以书面形式提交：收口的范围、收口的依据、收口后若再次发生权限干扰，责任由谁承担。否则，收口只是把风险转嫁给执行人。”
王XX的嘴角抽了一下，显然没料到“收口”也会被要求书面化。他想再说，法务专员却冷冷打断：“取证室不讨论项目策略，只记录事实。王XX，如果你没有新的事实证据，请你离开。你留在这里，只会增加干扰。”
王XX的脸色终于沉了下去，但他还是挤出一句：“我配合调查。需要我签字我也签。”
严负责人看着他：“你可以在纪要上签字确认你的陈述，但你要明白，签字意味着你对陈述负责。”
王XX点头，起身离开前，目光在周砚脸上停了半秒，那眼神像在说：你逼得太紧了。
门合上，取证室里的空气更冷了。
09:58，纪要进入核对阶段。
法务专员逐条读出：陈某陈述的时间线、王XX陈述的内容、周砚提供的材料索引、后续核验点清单、风险提示项（匿名短信/阻挠调查）。每一条都要求三方确认。
周砚听得很认真，听到“监控缺失时段运维记录待补充”时，他补了一句：“请在纪要中写明：运维告警编号与处置记录须在24小时内补充，否则追溯结论不得形成。这是防止无限延期。”
严负责人皱眉：“24小时可能紧张。”
周砚不争论，只提替代方案：“可以写‘最迟不晚于次日17:00’，并明确‘未补充前不得对外形成倾向性结论’。”
法务专员看了严负责人一眼，最终写下：“最迟次日17:00补充；未补齐前不得形成倾向性结论。”
陈某在签字前手抖得厉害，笔尖在纸上划出一道浅浅的歪线。周砚没有安慰，他只是把纪要推到陈某面前，轻声说：“你签的是你说过的事实。事实会保护你。”
陈某咬牙签下名字。
周砚最后签字时，笔画依旧稳，像在盖一枚不允许反悔的章。
10:22，周砚走出取证室。
走廊冷白灯照在脸上，皮肤像被洗掉温度。他没有回工位，而是先去打印室，把刚签字的纪要扫描件按规则归档，生成哈希，上传共享盘“合规记录/302追溯/取证纪要”目录，留言区只写一句：“三方签字纪要，待补充核验资料。”
他要把“今天发生过什么”钉在系统里，不让任何人有机会事后改叙述。
10:40，梁总的电话打来。
“纪要签了吗？”
“签了，归档了，哈希已生成。后续核验点已列明，运维告警与跳板机审计最迟明天17:00补齐。”
梁总沉默两秒：“王XX来闹了？”
周砚回：“他来补充陈述，否认指挥操作，试图引导收口。法务把他赶出去了。纪要已记录他的陈述与否认。”
梁总冷笑：“他急了。急了就会露更多。”
周砚没有顺着梁总的情绪走，只问关键：“AP接入记录拿到了吗？”
梁总说：“拿到了部分。安全部不愿给全量，我压了他们。你等我消息。”
挂断电话，周砚回到工位，打开当日闭环表，准备更新D7动作清单。他很清楚，内部追溯再重要，也不能让甲方侧的执行断档。
11:08，王珊发消息：“领导让我们把‘开放日异常处置机制’写进项目汇报，作为风险控制亮点。你能不能给我一页纸说明？重点讲：怎么防拍摄、怎么防舆情、怎么保证资料合规发放。”
周砚回：“11:40前给你。用‘流程三句式+留痕机制+证据路径’结构，便于上会。”
他立刻起草《开放日异常处置机制说明（甲方汇报用）》，把最复杂的流程压缩成最短的句子，依旧带版本号、时间戳、哈希值。对外只讲机制，不讲内部斗争。他知道甲方要的是“可控”，不是“内情”。
11:36，说明发出，抄送梁总，归档完成。
11:52，新的邮件提醒跳出来——信息安全部群发补充通知：302追溯已进入“证据核验阶段”，涉事人员需配合调取设备、门禁、IM在线轨迹。
这封邮件抄送很广，几乎把所有相关部门都拉进来。周砚一眼就看出其中的另一层意图：把调查公开化，便于“稀释”责任；公开得足够大，最后就更容易以“多人接触、难以锁定”收尾。
他没有在群里发言，只把邮件归档，并在自己的《302追溯缺口清单》里新增一条：“调查公开化风险：倾向于稀释责任，需坚持‘可核验链条’原则，避免结论模糊。”
13:10，午后办公区开始躁动。
有人小声议论：“听说外包被叫去取证了，王助理也进去过。”
还有人说：“这事要是查实了，算项目事故吧？那就不是小事了。”
周砚戴着耳机，表面在对数据表，耳朵却把每一句话都收进来。他不关心八卦，他关心“风向”——风向一旦转向“项目事故”，对手会做两件事：第一，立刻切割，把责任甩给外包或某个基层；第二，找新的战场，把周砚从结果线拉走，比如用“个人信息合规”或“试用期评估”再打一轮。
