全数据”“你越权获取记录”。
所以他先做两件事：
第一，把分析过程变成“可审计”。
他新建文档《302本地事件日志分析（V1.0）》，只写事实提取，不写推断，不写人名：事件时间、事件类型、事件ID、截图页码。每一条都引用原始日志的行号，像法庭证据一样严谨。
第二，把请求抛回制度链。
他给信息安全部负责人发邮件，标题极短：
《请求补充：USB设备ID与资产归属（用于302追溯终结结论）》
正文同样短：“请提供18:49插入USB设备的设备ID/序列号及资产归属记录（若为个人设备，请说明管理规定及违规处置流程），并说明该USB插入行为是否符合公司安全策略。该补证将用于周四二次收口会终结结论。”
邮件抄送梁总与法务。
发完，他截图归档，更新合规清单。
19:36，梁总回了两个字：“推进。”
短得像命令。
周砚关掉电脑屏幕，靠在椅背上闭眼三秒。疲惫像潮水涌上来，但他的脑子比任何时候都清醒。
他知道周四的二次收口会，终结结论将逼近某个人——至少逼近某个“资产归属”。
而逼近意味着反扑。
那条威胁短信不是最后一次。真正危险的，往往发生在你以为证据已经足够的时候：权限被掐断、邮箱被锁、或者某个“合规调查”突然升级，把你从执行现场拖走。
他打开手机，给王珊发了一条不带情绪的提醒：“本周预约到访推进按计划执行。若你收到任何‘暂停推进’或‘口径调整’的内部通知，请第一时间同步给我与梁总，需以书面纪要为准。”
王珊回：“明白。”
周砚把手机收起，拿起文件袋，封条依旧完好。他走出办公室时，走廊里只剩下应急灯的微光，影子被拉得很长。
他没有回头。
因为他知道，背后那个人已经开始慌了。
慌的人，会犯错。
而犯错，才是真正的证据。