任何临时拷贝与私下传输视为违规。这样既不影响交付，也能控制风险。”

高岚点头：“这条写进告知。”

08:10，流程开始。

安全部工程师先进行“现场录制声明”：时间、地点、参会人员名单、取证授权范围。摄像机镜头扫过每一个人的脸，红灯持续亮着。

高岚宣读《保全告知》：“封存取证期间，任何人不得以任何形式删除、篡改、覆盖设备数据；不得远程登录设备进行操作；不得指示他人操作。违反者按‘证据破坏’处理。”

念到“远程登录”时，媒介主管的眼角不自觉跳了一下。

08:17，第一台设备封存：媒介主管笔记本。

媒介主管把电脑放在折叠桌上，手掌压着机身边缘，像下意识想控制它的去向。安全工程师戴上手套，先在摄像机前展示设备外观、资产标签、序列号，再插入写保护器，把取证硬盘接入，开始做“只读镜像”。

镜像进度条缓慢跳动，像一条冷静的倒计时。

08:23，异常出现。

安全工程师的终端弹出一条提示：检测到设备尝试建立外联连接，目的地址为某个云盘同步域名。工程师迅速抬头：“设备在做同步。”

媒介主管立刻解释：“那是自动的，我昨晚做表格用过，云盘会同步文件，很正常。”

高岚没有争辩，只问一句：“你刚才有没有接触键盘？”

“没有。”媒介主管几乎是条件反射式否认。

安全工程师没有再问，直接拔掉网线，把无线模块硬断，继续镜像，同时对摄像机说：“记录：08:23，设备出现外联同步行为，已断网保全。”

周砚站在旁边，心里却很清楚：真正“正常”的同步会在登录态、网络正常时发生，而不是在封存流程、无人工操作的瞬间突然启动。除非有人提前设置了触发条件。

视野边缘，蓝色面板像冰一样亮起：

【证据破坏尝试出现：同步=掩护，覆盖=目的】

【应对重点：记录“触发条件”与“触发时刻”，不争辩动机】

08:31，第二台设备：王XX台式机。

王XX带路去了工位区。安全工程师全程跟在他身侧半步，像押运。到了工位，工程师先用手机录像记录工位环境：主机、显示器、键盘鼠标摆放状