第103章 名单：当“专项”失去可否认性
凌晨四点二十，治理修复委员会的日终系统自动生成了一份“异常行为热力图”。热力图像一张城市夜景，只是灯光不是建筑，而是行为：谁在什么时间试图做什么、被系统拒绝了多少次、触发了多少条告警、涉及多少个系统域。绝大多数区域是冷色，只有两个点仍然发烫：模板库违规创建与某个云边缘节点的反复配置读写请求。
顾明把热力图投到墙上，声音压得很低：“模板库违规触发者标识又出现了ison，但这次我们抓到了更具体的东西：触发来源的网络指纹与两个账号登录模式高度吻合。”
“哪两个？”周砚问。
“一个是秘书处专项安全联络官岗位账号；一个是集团办公室副主任的历史辅助账号。”顾明停顿了一下，“它们的浏览器指纹、访问时段、常用ip段一致，像同一个人轮换登录。”
“像”不够。周砚很清楚，责任落地不能靠像，必须靠可复核的证据：token指纹、证书序列号、登录会话id、工位网络端口、门禁刷卡时间对齐、甚至摄像头记录。影子机制的最后堡垒就是可否认性，只要还有“可能不是我”，它就还有活路。
“把‘像’变成砚说，“怎么做？”
顾明拿出一份计划：“三件事：
1）抓会话：对专项联络官账号开启增强审计（不降级），记录每次敏感操作的会话id与设备指纹；
2）抓工位：把工位交换机端口日志与门禁刷卡对齐；
3）抓证书：把s-19证书体系里所有证书序列号与申请单审批链对齐，尤其是‘审核人ison’字段。”
许衡在电话里补充：“你们要小心别打草惊蛇。增强审计本身不会被对方察觉，但如果你们动作太大，对方可能会停用账号、销毁设备。最好用‘观察式取证’：先锁证据，再锁人。”
罗主任点头：“警方那边也在追s-19。我们内部先把证据矩阵补齐，等警方收网。”
周砚看了一眼时间，四点二十八。太阳还没升，但空气已经变了。公示后的组织，夜里不再安静。安静意味着暗门在运转；现在夜里出现的是系统拒绝与告警，这意味着暗门在敲窗。
敲窗不是坏事。敲窗说明他们被迫在光下活动。
---
上午九点，董事长召开专项会议，会议名称很短：**“s-19处置与专项岗位调整”**。参会人员比以往少，都是能做决定的人：董事长、两名独立董事、纪检负责人、法务总监、信息中心主任、第三方许衡（线上）、警方联络人（旁听）、周砚。
董事长没有绕弯：“我们现在要解决三个问题：s-19到底是谁的机制？专项联络岗位是否还保留？责任名单怎么出？”
“名单”两个字出现，空气瞬间凝固。名单意味着个体开始被点名。点名意味着冲突会升级。影子机制最怕名单，但也最擅长在名单阶段搅浑水：你点我，我点你；你拿我，我拿你；最后所有人都厌倦，回到“算了”。
周砚开口先定框：“名单不是为了报复，是为了打掉可否认性。我们建议先出‘岗位名单’再出‘个人名单’，先把机制拆掉，再把责任落到人。”
独立董事问：“岗位名单怎么写？”
陆律把“岗位风险清单”投出来，按控制点列：
* 专项安全联络岗位：证书发放、审核、权限域配置；
* 集团办公室信息协调岗位：跳板机与自动化触发链维护；
* 安全运维管理岗：授信规则与临时授权包设计/维护；
* 物业外包对接岗：外包执行链核验缺失；
* 媒体口径管理岗：模板库与口径材料分发。
“岗位名单的意义，是把组织漏洞公示出来。”陆律说，“个人名单则根据证据矩阵分层落地。”
董事长点头：“那个人名单的证据矩阵标准是什么？”
许衡在屏幕上回答：“至少要满足三类证据中的两类：
a类：技术证据（会话id、设备指纹、token指纹、证书序列号、日志哈希）；
b类：流程证据（审批单、签收单、岗位职责、编号纪要）；
c类：行为证据（口供一致性、传播链、门禁/摄像头对齐）。
满足两类即可进入内部问责；满足三类且涉及持续干预，可移交刑事协查。”
“清晰。”董事长说，“按这个标准做。”
警方联络人提醒：“刑事部分我们会依法推进，但你们内部不要提前泄露‘拟名单’，防止串供与毁证。可以先做岗位调整与权限收回。”
“权限收回今天就做。”信息中心主任说，“专项联络岗位账号与所有s-19证书体系相关权限，我们建议立即冻结，改由治理修复委员会临时托管，并由第三方监督。”
独立董事皱眉：“冻结会不会影响正常工作？”
周砚回答：“专项联络岗位的‘正常工作’如果必须依赖s-19证书体系与隐藏模板，那它本身就不该存在。我们可以提供替代流程：所有‘董事会风险沟通’相关材料走正式编号与董事会秘书处系统，不再走专项证书。”
董事长直接拍板：“冻结。今天执行。”
这句拍板，等于把门拆下来。门一拆，影子机制就只剩人。
---
上午十一点，冻结动作开始。信息中心按编号执行：冻结专项联络岗位账号、吊销s-19相关证书权限、封存证书申请系统镜像里s-19模板组移入只读证据库、禁用模板库任何新增目录（改为审批创建）。
动作一执行，仪表盘立刻跳出一串告警：有人在冻结瞬间尝试登录专项联络账号，被拒绝；随后又尝试用集团办公室副主任的辅助账号登录，也被拒绝。两次尝试相隔不到两分钟。
“有人在盯着。”顾明说，“冻结刚发生，他就试图进去抢东西。”
“这就是打草惊蛇？”梁总有点担心。
许衡反而很冷静：“不算。你们冻结前已经镜像封存，抢不到核心。现在的尝试反而是行为证据，能帮助落地。”
罗主任立即指令：“把两次拒绝登录的会话id、设备指纹、来源ip段全部编号入库，与门禁刷卡时间对齐，必要时调取对应楼层摄像头。”
这一次，对方想用速度抢回可否认性，却被窗框捕获成证据。
---