态、USB口是否插着设备。

然后他蹲下身，直接拔电源，拔网线，贴封条。

王XX想说什么，嘴唇动了动，最终还是没开口。

08:47，第三台设备：阿远个人工作站。

阿远依旧试图争取：“我这台机子下午还有资源协调，封了我怎么干活？”

高岚把替代终端清单递过去：“内控可以提供临时机，权限由安全部按最小化策略开。你只要配合。”

阿远接过清单，面色僵了一瞬，最终点头：“行。”

09:12，镜像完成第一阶段。

安全工程师把取证硬盘封进证据袋，贴封条，封条上写：设备编号、镜像哈希、时间戳、经手人签名、见证人签名。高岚签了字，安全部负责人签了字，媒介主管签字时，笔尖停了两秒，才勉强落下。

周砚作为见证人之一也签了字。他签得很慢，像签一份不可撤回的合同。

09:26，内控临时会议。

高岚把三份封存确认单摊开，语气依旧平静，却像刀刃落下：“取证开始后出现外联同步行为，属于取证风险点。现在需要确认三件事：一，外联同步是否为系统自动；二，是否存在远程触发；三，是否与302链路同源。”

安全部负责人点头：“我们会在镜像里检索任务计划、启动项、同步客户端日志、以及远程控制软件痕迹。最关键的是：是否存在同一类‘触发机制’。”

阿远立刻接话：“我还是那句话，别扩大。同步也可能是正常行为。”

高岚看向他：“扩大不扩大，取决于证据，不取决于你说的‘可能’。”

媒介主管终于忍不住：“高总，这都快把我当嫌疑人了。我天天做舆情监测，装几个工具很正常。你们这样搞，会影响我工作，也会影响项目对外。”

周砚没有看他，只把自己的关注点拉回项目：“我提醒一个客观事实：对外节奏不能断。今天上午我会同步D5闭环数据给甲方，下午要更新开放日分流与应急预案。取证结论什么时候出来我不干预，但交付线我会按计划推进。”

高岚点头：“这也是我们今天要确保的。安全事件不能拖断业务，但业务也不能成为遮蔽证据的理由。”

09:48，周砚回到工位，打开共享盘。

他先更新《开放日应急预案