王XX带路去了工位区。安全工程师全程跟在他身侧半步，像押运。到了工位，工程师先用手机录像记录工位环境：主机、显示器、键盘鼠标摆放状态、USB口是否插着设备。
然后他蹲下身，直接拔电源，拔网线，贴封条。
王XX想说什么，嘴唇动了动，最终还是没开口。
08:47，第三台设备：阿远个人工作站。
阿远依旧试图争取：“我这台机子下午还有资源协调，封了我怎么干活？”
高岚把替代终端清单递过去：“内控可以提供临时机，权限由安全部按最小化策略开。你只要配合。”
阿远接过清单，面色僵了一瞬，最终点头：“行。”
09:12，镜像完成第一阶段。
安全工程师把取证硬盘封进证据袋，贴封条，封条上写：设备编号、镜像哈希、时间戳、经手人签名、见证人签名。高岚签了字，安全部负责人签了字，媒介主管签字时，笔尖停了两秒，才勉强落下。
周砚作为见证人之一也签了字。他签得很慢，像签一份不可撤回的合同。
09:26，内控临时会议。
高岚把三份封存确认单摊开，语气依旧平静，却像刀刃落下：“取证开始后出现外联同步行为，属于取证风险点。现在需要确认三件事：一，外联同步是否为系统自动；二，是否存在远程触发；三，是否与302链路同源。”
安全部负责人点头：“我们会在镜像里检索任务计划、启动项、同步客户端日志、以及远程控制软件痕迹。最关键的是：是否存在同一类‘触发机制’。”
阿远立刻接话：“我还是那句话，别扩大。同步也可能是正常行为。”
高岚看向他：“扩大不扩大，取决于证据，不取决于你说的‘可能’。”
媒介主管终于忍不住：“高总，这都快把我当嫌疑人了。我天天做舆情监测，装几个工具很正常。你们这样搞，会影响我工作，也会影响项目对外。”
周砚没有看他，只把自己的关注点拉回项目：“我提醒一个客观事实：对外节奏不能断。今天上午我会同步D5闭环数据给甲方，下午要更新开放日分流与应急预案。取证结论什么时候出来我不干预，但交付线我会按计划推进。”
高岚点头：“这也是我们今天要确保的。安全事件不能拖断业务，但业务也不能成为遮蔽证据的理由。”
09:48，周砚回到工位，打开共享盘。
他先更新《开放日应急预案（V1.0）》，把可能出现的风险按“触发条件—响应动作—责任人—留痕方式”写得极细：
1）外部质疑“虚假引流”：现场仅展示“区间+来源+证据路径”，提供核验二维码，扫码即到共享盘公开页（脱敏版）；
留痕：现场问答记录表（编号化）、图片拍照归档。
2）媒体到场提问：统一引导至甲方指定发言人，项目组不私自答复；
留痕：媒体接触登记（时间/账号/问题/转交人）。
3）用户隐私争议：现场登记只留必要字段，明示同意签字或勾选；
留痕：表单同意记录+扫描件归档。
4）平台风控/社群异常：立即切换资料发放为“一对一”，暂停群内公开资料链接；
留痕：平台告警截图+处置时间线。
他写得像一份战术手册，每一条都能执行、能审计、能回溯。
10:12，王珊发来消息：“内控那边怎么样？别影响现场。我们这边领导问，能不能把你们的‘核验路径’做成一张现场海报，贴在入口处，避免反复解释。”
周砚回：“可以。我今天中午前出一张海报：资料清单+来源类型+核验路径二维码+隐私告知要点。海报版本号、生成时间、哈希一起给你。”
他把对话截图归档，立刻找设计组要模板。
10:36，设计组海报初稿出来了。
周砚看了一眼，没有改视觉，只改文字结构，把“资料清单”按四类写得极简：
—数据口径：公开平台数据/甲方样本/实测证据（扫码可核验）
—实测证据：视频/路线图/时间窗说明（扫码可核验）
—预约与登记：必要字段/明示同意/脱敏编号（扫码可核验）
—版本声明：共享盘归档为唯一有效版本（扫码可核验）
海报右下角加了一行小字：本海报不包含个人信息，不构成单点承诺，仅提供核验路径。
这种写法看起来冷，但能最大限度降低被截取传播的风险。
11:08，内控的第二封邮件推送到了周砚电脑上。
标题：取证进展同步（阶段性发现）。
正文很短，却像在水面砸下一块石头：
“媒介主管笔记本镜像初检：发现远程控制软件残留（服务项存在，界面已卸载）、同步客户端配置异常（含指定目录‘项目/资料’自动同步规则）、任务计划中存在‘触发后执行脚本’记录，具体脚本待提取核验。”
“王XX台式机镜像初检：发现USB接入历史中存在同一HID设备多次插拔记录；发现脚本文件夹‘tools/auto_input’，含若干自动化输入脚本；存在与‘302公用电脑计划任务名称相似’的任务条目。”