凌晨一点十二分，战情室的灯依旧亮着，但亮得更像一盏警示灯。
梁总靠在椅背上，眼睛没闭，手里却一直转着那只笔。顾明把当天所有审计报告按编号顺序排成一列，像给一条刚成形的骨架做X光片。陆律则在电脑上不断刷新**联络群的消息——她不是等消息，是等“反扑的下一步”。
周砚坐在白板前，白板上那条拓扑被粗线圈住：临时管理员、信息中心小组长、外包安保主管、访客网络、匿名账号、群体煽动、跟拍威胁。圈住的不只是人和节点，是一种惯性：当规则上锁，灰会转向暗门。
暗门是什么？
不是一个系统漏洞那么简单。暗门是“回收期”的利用：制度刚落地，旧权限还没完全回收；冻结开关刚装上，旧设备还在运行；钥匙刚分散，旧口径仍在传播。回收期的这几天，是灰最擅长的时间窗口。
周砚把目光从拓扑移到桌面那份董事会临时决议，轻轻点了一下关键条款：“取消所有临时管理员权限，改为实名绑定、有效期、强制二次认证。”
“取消”在纸上很干净，执行却一定有缝。因为取消本身就需要权限，需要执行链。
顾明像读懂了他的担心：“我已经让信息安全把‘临时管理员列表’导出来了，一共二十七个。二级冻结只冻结了其中三个与两个服务账号。剩下的二十二个还在。”
梁总皱眉：“不是说取消所有临时管理员权限？”
顾明摊开手：“通知是中午发的，取消要分批执行。信息安全团队人手不够，他们要逐个做权限回收与依赖检查，不然会把业务系统一锅端。”
陆律冷静地接话：“回收期就是对方的机会。我们得盯住最关键的那几类临时权限：协作空间管理、会议预订管理员、门禁导出、打印审计导出、群管理后台。只要这些不全回收，对方还能开暗门。”
周砚点头：“我们把‘回收期风险清单’发董秘办，要求按优先级回收，并把执行进度留痕。”
梁总立刻说：“我来签字发。”
他刚要起草邮件，战情室外的安保人员敲门，声音压得很低：“梁总，楼下前台说有一份快递，指名给周老师。寄件人信息空白。”
空气像被刮了一下。
不明寄件人、指名、空白信息——这三样组合在一起，不可能是正常文件。
陆律立刻起身：“不收。让前台原封不动交**。”
安保人员点头：“已经按**要求封存了，前台说快递盒很轻。”
周砚没有逞强去看，他只是问：“快递单号有吗？”
安保说：“有。**已经登记。”
陆律把这条也写进清单，编号：OD-THR-012（匿名快递投递尝试）。备注只有四个字：**“诱导接触。”**
“他们在试探。”顾明低声，“如果你接了，就能把你和‘外来物’绑在一起。以后任何泄密都能往你身上扣。”
梁总把笔重重放下：“他们的路越来越脏。”
周砚抬眼：“路脏说明路少。开关装上后，他们能走的路越来越窄了。”
这句话像把大家从紧绷里拉回到判断里。战情室继续推进回收期风险清单，邮件标题直接写成制度语言：
《回收期风险清单与临时权限优先回收建议（需留痕）》。
邮件内容不讲情绪，只讲动作：列出五类**险临时权限，给出回收优先级与完成时限，要求每一项回收动作自动生成审计报告并抄送**、内审、董秘办。附件附上当天二级冻结执行报告、B区会议室异常链路摘要，以及匿名煽动编号清单。
邮件发出后，周砚把发送回执保存，编号：OD-COM-113（回收期风险清单提交）。
发完邮件，他终于站起来活动了一下肩。疲惫像潮水，但脑子仍清醒。他知道这一晚不会平静，因为对方不会让他们把回收期变成“白天”。
果然，凌晨两点零五分，顾明的电脑跳出一条告警。
“协作空间镜像库有访问尝试。”顾明盯着屏幕，“有人用一个旧的服务账号在拉取镜像索引。按理镜像是只读，能拉索引但拉不到内容。问题是——这个服务账号本该在中午回收列表里。”
梁总立刻问：“来源IP？”
顾明看了一眼，眉头猛地一跳：“不是总部。是……活动中心外网出口。”
活动中心是集团举办大型路演、开放日活动的场地之一，网络由活动执行供应商维护，通常与集团内部网络隔离。但现在出现访问尝试，意味着有人在把“活动网”当跳板。
“活动中心外网出口能触达镜像索引？”陆律问。
顾明指着屏幕：“理论上不行，但如果有人在内部开了一个转发，或者有一个还没关的VPN隧道——就能绕。”
梁总立刻拨给信息安全负责人。电话接通后，对方的声音带着明显的疲惫：“我们正在回收隧道。你们看到什么？”
顾明直接报：“活动中心外网出口访问镜像索引。时间02:05。服务账号X-bridge-svc。请立刻冻结该账号并检查是否存在未关闭的VPN隧道或端口转发。”
信息安全负责人沉默两秒：“我们马上处理。你们把告警截图与哈希发我和**。”
顾明把告警截图入库：OD-LOG-118（镜像索引异常访问尝试）。备注：**“活动网出口疑似跳板。”**
陆律看着编号，声音更冷：“对方在把暗门从公司楼里搬到活动供应商那里。这样即使内部权限收口，他们还能用外包网络做触达。”
周砚抬眼：“那就把供应商也纳入冻结范围。”
梁总点头：“明天一早提给董秘办与内审：对活动供应商网络做审计，暂停其远程维护权限，所有隧道必须重新备案。”
夜色更沉，战情室却像被上了发条。越到这种时候，越不能让恐惧掌控节奏。节奏必须被流程掌控。
---
早上七点半，董秘办回了邮件。
季副主任的回复很短，但每一个字都像盖章：
“清单收到。按你们优先级执行。信息安全8:30提交回收进度表。活动中心供应商隧道立即停用并审计。——季”
这条回复意味着回收期被纳入董事会视野，暗门的空间进一步收窄。
八点四十，战情室按**要求转移到总部内审层的一个临时工作间。这里门禁更严，出入需要双人刷卡，走廊没有闲人，连空气都更“规矩”。周砚第一次感到一种“制度的保护”——不是温柔，而是冷硬的隔离。
九点整，信息安全回收进度表发出。
表格里列出二十七个临时管理员账号：已回收八个，冻结三个，剩余十六个计划在当天18:00前完成。每一条回收都有工单编号、审批人、执行人、时间戳。表格末尾还有一行红字：“发现未备案隧道2条，已停用，待审计。”
顾明看着那行红字，轻声说：“他们确实有隧道。”
梁总没多说，只把表格入库编号：OD-LOG-124（临时权限回收进度表）。备注：**“回收期执行留痕。”**
十点半，**再次召集“交叉核查会”，这次参会名单增加了一个人——集团供应链与外包管理负责人，姓冯，平时管供应商合同与现场安保、活动执行等资源。冯负责人一进会议室就皱眉：“你们把外包安保也拉进来，是不是有点扩大范围？外包公司合作很多年，流程很成熟。”
罗主任没有争辩，只把一张照片推过去——周砚背影被拍的那张。照片旁边是昨晚B区会议室门禁记录与外包安保主管的资料打印件。
“不是扩大范围，是证据指向。”罗主任语气依旧平，“外包安保主管出现在异常会议室，且体态与跟拍者高度相似。另有活动供应商网络出口访问镜像索引的告警。外包与供应商环节存在被利用的可能。我们需要你配合核查三件事：一，外包安保主管的排班与行程；二，活动供应商的远程维护隧道备案；三，外包人员进出顶层的陪同链。”
冯负责人脸色一变：“外包安保怎么可能进顶层？”
顾明把一份门禁权限清单投屏：“顶层门禁权限本不包含外包。但外包人员可以通过‘陪同通行’进入，陪同者是谁，门禁系统有记录。”
罗主任点头：“我们要查的就是陪同链。”
冯负责人开始意识到问题不是“外包有没有坏”，而是“谁在用外包”。他沉声：“我配合。但我要声明，我们供应链对外包人员有背景审查。”
苏内审在旁边冷冷补一句：“背景审查防不了被指令的人。我们查的是指令链，不是道德链。”
会议室气氛更冷。
周砚没有插话，他知道这类会议的关键是把范围从“个人执行”扩展到“资源调动”。资源调动一旦纳入核查，很多看似不相关的人都会被迫面对一个事实：他们提供的工具正在被拿来做阴影动作。
罗主任翻到一份新的材料：“还有一条线。B区会议室那晚十点到十一点，门禁记录显示PMO副经理也在场。这个人是谁？负责什么？谁给他临时接管权限？”
梁总看向顾明：“副经理名字你知道吗？”
顾明点开接管通知：“邱霆。接管小组副组长，负责‘协作权限统一与口径协同’。”
“协作权限统一与口径协同。”周砚在心里默念这八个字，突然觉得它们像某种伪装：把“权限控制”与“口径控制”绑在一起，听起来像治理，实际上可能是切割与遮盖的工具箱。
罗主任看向冯负责人：“邱霆是否能调动外包安保或活动供应商资源？”
冯负责人犹豫一下：“按合同，活动执行与安保调度由集团公关办公室发起需求，我们供应链负责下单与验收。PMO一般不直接提需求，但如果他以‘接管应急’名义发临时需求，也可以走内部流程。”
“临时需求。”陆律轻声重复，眼神更冷，“又是临时。”
罗主任点头：“所以我们要把‘临时需求’也纳入回收期重点：危机窗口期禁止任何临时外包需求，除非走双钥匙审批并留痕。”
冯负责人点头，但脸色已经很难看。他这时才意识到：外包不是外围，外包是组织的延伸。延伸被利用，责任仍会回到组织。
会议末尾，罗主任宣布：“我们将对邱霆启动重点问询，并冻结其相关权限。外包安保主管与信息中心小组长作为关联人员，移交警方与**联合核查。供应商隧道与远程维护权限全部停用，待审计通过方可恢复。”
一句句“冻结”“停用”“移交”，像一根根钉子，把暗门钉死。
但周砚很清楚：暗门被钉死的瞬间，灰会去找下一扇门。
下一扇门往往不是技术门，是叙事门。
---
午后两点，叙事门果然被推开。
集团内部论坛出现一篇署名文章，署名不是匿名，而是“项目建设贡献者联合署名”，标题更煽动：
《别让“应急机制”变成内部清算》
文章表面上支持整改，字里行间却把矛头对准**与内审：“过度冻结会导致业务瘫痪”“任何人都可能被误伤”“内部互相举报会破坏信任”。最后一段更直接：“我们需要的是效率恢复，而不是把所有权限都交给少数人。”
这篇文章没有点名周砚，但每个句子都在暗示：冻结开关是在**，钥匙分散是在制造恐惧。
顾明看完冷笑：“他们把矛头从周砚身上挪开，开始打制度本身。”
梁总沉声：“这是更高一级的反扑。**容易被**抓住，打制度可以伪装成‘为公司好’。”
陆律迅速把文章截图与发布时间、发布账号、IP段、引用链接入库编号：OD-INT-131（署名文章抹黑冻结机制）。备注：**“叙事反制，否定开关。”**
周砚看完文章，没有生气，只问一句：“发布账号是谁？”
顾明放大页面：“账号属于‘知识库运营’团队，权限可以置顶、推送。”
“知识库运营。”周砚轻轻点头，“他们在用内容分发渠道造势。冻结开关锁住了权限，他们就用内容渠道制造‘反冻结共识’。”
梁总抬眼：“怎么处理？”
陆律摇头：“不删。删就是他们想要的证据：‘看，制度在捂嘴。’正确动作是——用制度语言回应，不针对人，针对流程，告诉大家：冻结是分级的、可复核的、双钥匙的、可审计的，误触发有纠错机制，但干预调查有硬边界。让员工看到‘不会乱冻’，也看到‘谁越界谁会被冻’。”
周砚接上：“同时解释回收期。告诉大家：现在是回收期，冻结是为了防止证据被动手脚。回收期结束后，冻结将回归常态机制，只对异常触发。”
梁总点头：“由董秘办发，别让业务线发。”
周砚立即把“冻结机制解释要点”写成一页纸，语言尽量简洁，像条款说明书：冻结分级、触发条件、复核流程、误触发纠错、审计报告公开范围、回收期时间窗、员工正常工作不受影响的边界。写完发给季副主任与苏内审，抄送**联络。
发送编号：OD-COM-137（冻结机制内部说明要点提交）。
十分钟后，季副主任回复：“收到。今晚由董秘办统一发布解释说明，附审计样例与纠错流程。”
周砚把手机放下，心里那股紧绷稍稍松了一丝。叙事反制是灰最擅长的武器，但叙事也能被制度反击——只要制度语言足够清晰，足够让普通人理解并相信。
可就在这时，罗主任的电话打了进来。
罗主任的声音比平时更短：“邱霆人不见了。”
梁总瞬间站起来：“什么意思？”
“他上午接到问询通知后说去洗手间，离开办公区。门禁记录显示他刷卡出楼，出楼后手机关机。我们已通知安保与警方协助寻找。”罗主任停顿一下，“更重要的是，他出楼前，在B区会议室待了五分钟。”
顾明的脸色一下子变得更差：“B区会议室又是B区会议室。”
周砚没有说话，但脑子里已经开始跑一条更危险的推断：邱霆知道自己要被问询，他可能不是逃跑那么简单，他可能去取东西、毁东西、或者交东西。
“B区会议室五分钟做不了太多。”顾明自我安慰，“除非他有事先藏的设备。”
陆律冷声：“五分钟足够拿走一个U盘、一部备用手机、一张门禁卡。足够把关键线索带出制度视野。”
梁总立刻问罗主任：“B区会议室监控呢？”
罗主任的声音更冷：“监控有盲区，但我们已经调了走廊与门口。能看到他进去、出来，手里多了一个黑色文件袋。”
“文件袋。”周砚终于开口，“他带走的是纸还是设备？”
罗主任：“看不清，但文件袋鼓起。”
周砚的脑子里闪过昨晚那个匿名快递。快递盒很轻。文件袋鼓起。轻与鼓的组合很像一种东西——加密U盘、便携硬盘、或者带SIM卡的备用机。
“他不一定是在带走证据。”顾明低声，“也可能是在带走‘对付你们的材料’。”
陆律看着周砚：“两种可能都会伤你：带走证据会让链条断，带走材料会让叙事反扑升级。”
梁总沉声：“我们现在能做的只有一件：把已固证的所有链条再做一次快照，并把B区会议室相关工单、门禁、隧道记录全部冻结，防止他回头抹掉。”
顾明立刻动手，把“B区会议室相关系统”列为追加镜像范围，并让信息安全触发补充快照。补充快照审计报告生成后，他当场入库编号：OD-LOG-142（B区会议室关联数据补充快照）。
同时，陆律给警方备案材料追加一条：“关联人员邱霆失联，疑似携带文件袋离开，存在销毁/转移证据风险。”
战情室的空气变得更紧，但没有乱。流程在这种时候反而更像护栏：每个人都知道下一步该做什么。
周砚站在白板前，盯着拓扑那条黑线，忽然把“邱霆”这个节点用红笔圈住，再在旁边写了四个字：
**“回收期人。”**
回收期人最危险，因为他们往往掌握旧权限、旧口径、旧关系网。他们不会等规则长硬，他们只会趁规则还软的时候
【当前章节不完整】
【阅读完整章节请前往原站】
【ggds.cc】