缓冲。他没立刻点开附件，而是先把邮件整体下载保存，生成哈希值，拖进“302追溯/设备归属”目录，再在合规清单里新增一条记录：邮件主题、发送时间、抄送范围、附件哈希、后续动作。
做完这些，他才点开附件。
附件是一份两页的检索报告，第一页写“检索范围”：近90天公司终端管理系统USB识别记录、资产管理登记、IT服务台外设借用台账；范围限定为“门禁刷卡进入302会议室人员对应工位设备+302公用设备自身记录”。
第二页写“命中结果”，只有一条命中，字像石头一样沉：
“USB\VID_XXXX&PID_XXXX近30天内曾被识别于：市场部员工李XX工位电脑（资产编号：PC-07XX），识别时间：昨日18:45—18:47；另：该USB设备在IT服务台外设借用台账登记归属：项目管理办公室（PMO）共享U盘（编号：U-32X），借用人：王XX（阿远助理），借用时间：昨日17:58，归还记录：无。”
周砚的视线从“借用人：王XX”那行字上慢慢挪开，又落回“归还记录：无”。他没有任何“终于抓到你”的兴奋，反而升起一种更冷的警觉——这条链路太完整，完整得像对方以为“就算被查到，也可以把锅甩给共享资源”。
共享U盘、PMO、借用台账、未归还——这些关键词组合起来，很容易构成一种“制度性漏洞”：共享设备被借用、未按时归还、被人拿去做违规操作。最后仍然可以绕回“无法锁定单一责任人”。
但周砚也看见了致命的锚点：借用人是王XX，且时间点与302事件高度吻合。再加上门禁记录里王XX18:46进出，电脑事件日志18:46插入USB，所有链条对齐到分钟。
灰区开始变窄。
视野边缘，蓝色面板像一把冷刀递进来：
【证据链进入“可指向阶段”：共享U盘借用台账+门禁刷卡+设备插入日志=三重对齐】
【下一步关键：把“共享资源”从遮羞布变成责任链——核查借用审批、归还制度、U盘编号实体封存与内容取证】
周砚没有任何迟疑，打开一个新文档，标题定为《USB设备归属交叉证据链及处置建议（供梁总/法务/信息安全）》。他把证据链拆成四段，每段都写“事实—证据—风险—建议
本章未完，请点击下一页继续阅读！