回到工位，周砚先做的不是继续查日志，而是把自己的权限再检查一遍。
在这种时候，最常见的手段就是“让你看不见”。你看不见，你就无法补证；你无法补证，排他性就无法形成；排他性无法形成，结论就会变成一团“看起来很像，但又不能写”的雾。
他打开共享盘，检查证据包链接，检查只读权限，检查哈希指纹列表，检查邮件回执的存档路径。所有东西都在。
他刚松一口气，屏幕右下角突然弹出一个提示：**“访问被拒绝：你无权查看该目录。”**
周砚的心一沉。
被拒绝的目录是“门禁系统卡号映射表”的临时存放路径——这是今天把A-4648推向姓名的关键一步。
他没有慌，也没有立刻找人理论，而是先截图，入库：OD-SEC-026（权限异常截图）。
紧接着，他打开系统的权限变更日志，果然看到一条记录：九点三十七分，他的账号被从“门禁审计协作组”移除。
移除操作人：**PMO-OPS-Admin**。
周砚的眼神冷到像水结冰。
PMO的手伸得比他预想得更快、更直接，而且根本不避痕迹——因为他们习惯了“伸手也没人敢写”。
现在有人敢写了。
周砚把变更日志截图，入库：OD-SEC-027（权限变更记录）。然后直接把两张截图发进追溯群，文字只写一句：
“补证关键目录权限被移除，操作人PMO-OPS-Admin，已固证。建议立即冻结追溯相关权限变更。”
消息发出后，群里先是一阵安静，像有人突然被扼住喉咙。
三秒后，内控负责人回：“已看到，马上处理。”
信息安全老赵回：“我这边立刻拉权限基线，开启变更告警。”
法务陆律回：“建议将此行为纳入追溯，属于‘追溯过程干预’。”
HRBP小程回得更直接：“我已经联系IT管理员，冻结PMO-OPS-Admin账号，等待内控确认。”
周砚看着这几条回复，心里很清楚：从这一刻开始，事情不再是“开放日异常”，而是“开放日异常+追溯干预”。干预行为本身就会把链路往更高层推。
对手越急，越说明那个名字离空
本章未完，请点击下一页继续阅读！