信息安全部、IT、行政按流程提供。我只是提出核验需求，并保留项目事故追溯所需的材料。流程内取证，不存在越权。”

HR主管笑意僵了一瞬：“我的意思是，别把事情搞太大。”

“项目事故已经被梁总定义了。”周砚更平静，“追溯不清才是把事情搞大。搞大不是我决定的，是那些让交付通道断档的人决定的。”

HR主管没再说，转身离开。她走的时候，周砚看见她握文件的手指用力到发白——温柔失效后，下一招往往更狠。

11:11，IT资产管理工单的第一轮反馈终于来了，邮件标题很公事公办：《工单IT-INC-7XXXX反馈：外接存储设备序列号核验结果（初步）》。

周砚点开邮件的那一刻，后背的肌肉微微绷紧——不是紧张，而是进入战术状态的本能反应。

邮件内容分三段：

“1）固定资产台账核验：该序列号对应设备未在公司固定资产台账登记，非公司统一采购资产；

2）外设白名单核验：该设备不在公司‘允许外接存储设备白名单’；

3）终端接入历史（近30天）：在以下终端出现接入记录——

A）LAP-PRJ-AYUAN-02（19:??接入一次）

B）MEET-302-PC（18:46接入一次）

C）DESK-MKT-LIXX-01（18:??接入一次）

详细接入时间戳与登录账号信息需终端管理系统二次导出，预计13:30前补充。”

非公司台账、非白名单、却出现在阿远的笔记本上、302公用电脑上、以及市场部李XX的工位机上。

这不是“普通U盘”，这是“在关键路径上反复出现的外来设备”。最关键的，是它在阿远笔记本上出现过接入记录——哪怕只有一次，都足以让“偶然”变成“链条”。

周砚没有立刻把邮件转发给梁总。他先做了三件事，把主动权握住：

第一，把邮件与附件保存归档、生成哈希值、更新合规记录表，备注“证据关键度：高”。

第二，立刻回复IT资产管理，要求补充导出的字段必须包含：接入的本地用户名/域账号、当时的登录会话、对应的IP、是否有文件读写记录（如可提供）。他写得很克制，只提“字段需求”，不提“指向谁”。