号实体封存与内容取证】
周砚没有任何迟疑，打开一个新文档，标题定为《USB设备归属交叉证据链及处置建议（供梁总/法务/信息安全）》。他把证据链拆成四段，每段都写“事实—证据—风险—建议动作”，没有情绪，没有推测：
1）事实：302公用电脑18:46插入USB设备；证据：本地事件日志；风险：监控缺失时段关键前置动作被遮蔽；建议：将USB插入行为纳入追溯核心链路；
2）事实：该USB设备登记为PMO共享U盘，借用人王XX，借用17:58未归还；证据：IT服务台台账；风险：共享资源被滥用、归还制度失效导致责任稀释；建议：立即封存U-32X实体并取证，锁定内容是否含登录脚本/缓存；
3）事实：门禁记录显示王XX18:46进入302；证据：门禁明细；风险：与USB插入时间高度对齐；建议：对王XX进行事实核查询问，形成书面问询纪要；
4）事实：该USB设备在市场部李XX工位电脑18:45被识别；证据：终端管理识别记录；风险：设备在进入302前曾在其他工位出现；建议：核查李XX与王XX之间的接触链路（会议/工位相邻/IM沟通），限定范围，不扩大无效排查。
文档末尾，他只写一句结论：“以上链路足以替代监控缺失时段形成阶段性结论，建议以项目事故风险为由启动‘共享外设管理漏洞’专项处置，避免追溯被无限拖延。”
08:58，周砚把这份文档连同检索报告一起发给梁总，抄送法务与信息安全负责人。邮件主题用最容易被决策层接受的表达：
《302追溯关键进展：共享U盘借用人命中（建议启动封存取证与书面问询）》
他不写“抓到王XX”，他写“关键进展”“建议动作”。他要推动的不是情绪裁决，而是流程处置。
09:06，他把给王珊的一页纸风险说明发出，内容只围绕三件事：
-追溯进展：已形成替代证据链，监控缺失不影响阶段性判断；
-合规控制：对外沟通全留痕、资料路径可核验、个人信息三项必要字段+明示同意；
-交付保障：预约到访接待排班已确认，复盘答疑口径库v1.1锁定，
本章未完，请点击下一页继续阅读！