09:12，镜像完成第一阶段。
安全工程师把取证硬盘封进证据袋，贴封条，封条上写：设备编号、镜像哈希、时间戳、经手人签名、见证人签名。高岚签了字，安全部负责人签了字，媒介主管签字时，笔尖停了两秒，才勉强落下。
周砚作为见证人之一也签了字。他签得很慢，像签一份不可撤回的合同。
09:26，内控临时会议。
高岚把三份封存确认单摊开，语气依旧平静，却像刀刃落下：“取证开始后出现外联同步行为，属于取证风险点。现在需要确认三件事：一，外联同步是否为系统自动；二，是否存在远程触发；三，是否与302链路同源。”
安全部负责人点头：“我们会在镜像里检索任务计划、启动项、同步客户端日志、以及远程控制软件痕迹。最关键的是：是否存在同一类‘触发机制’。”
阿远立刻接话：“我还是那句话，别扩大。同步也可能是正常行为。”
高岚看向他：“扩大不扩大，取决于证据，不取决于你说的‘可能’。”
媒介主管终于忍不住：“高总，这都快把我当嫌疑人了。我天天做舆情监测，装几个工具很正常。你们这样搞，会影响我工作，也会影响项目对外。”
周砚没有看他，只把自己的关注点拉回项目：“我提醒一个客观事实：对外节奏不能断。今天上午我会同步D5闭环数据给甲方，下午要更新开放日分流与应急预案。取证结论什么时候出来我不干预，但交付线我会按计划推进。”
高岚点头：“这也是我们今天要确保的。安全事件不能拖断业务，但业务也不能成为遮蔽证据的理由。”
09:48，周砚回到工位，打开共享盘。
他先更新《开放日应急预案（V1.0）》，把可能出现的风险按“触发条件—响应动作—责任人—留痕方式”写得极细：
1）外部质疑“虚假引流”：现场仅展示“区间+来源+证据路径”，提供核验二维码，扫码即到共享盘公开页（脱敏版）；
留痕：现场问答记录表（编号化）、图片拍照归档。
2）媒体到场提问：统一引导至甲方指定发言人，项目组不私自答复；
留痕：媒体接触登记（时间/账号/问题/转交人）。
3）用户隐私争议：现场登记只留必要字段，明示同意签字或勾选；
留痕：表单同意记录+扫描件归档。
4）平台风控/社群异常：立即切换
本章未完，请点击下一页继续阅读！