关键目录与关键时间窗。”
许工翻了两页，抬眼：“你要查管理员账号？”
高岚替周砚接话：“内控立案，合法合规。日志只给内控，封存编号走内控流程。信息化只提供原始导出与字段解释。”
许工点头，但眉头还是皱着：“Break-glass账号属于最高权限，使用记录理论上也能查，但需要安全部配合。你们先从共享盘审计走，若出现‘异常清理’再上升到Break-glass。”
周砚没有争“现在就查Break-glass”，他知道组织接受需要梯度。他只补了一句关键限定：“请确保导出的日志包含操作者IP与设备标识字段。没有设备标识，链条会断。”
许工沉默两秒：“可以。”
11:02，高岚把封存编号写在白板上：“SP-AUD-202X-003（共享盘审计日志导出）。”随后又写了一行：“SP-PERM-202X-004（权限变更记录导出）。”
周砚看着编号，心里很清楚——从这一刻起，“谁能改版本”不再是猜测，而是可查证的事实问题。
11:35，审计日志第一批导出完成。
许工没有把原始文件发给周砚，只发给高岚，并抄送梁总。周砚拿到的是一份摘要表（经内控脱敏处理），但字段足够。
摘要表里，最扎眼的是一条记录：
“D-207:36：目录‘运营/证据包’文件‘竞品对比表_v1.1.pdf’发生‘Replace’操作（覆盖替换），操作者：it-admin02，来源IP：10.18.x.x，设备标识：WIN-OPS-07。”
周砚的眼神微微一沉。
覆盖替换，意味着不是普通上传新版本，而是用同名文件直接把内容换掉。企业盘的“Replace”操作通常只有在特定客户端或管理员工具下才会出现。普通员工的网页上传一般是“Upload/Versionadd”，不会是“Replace”。
更关键的是：操作者不是阿远，不是王XX，而是“it-admin02”——信息化管理员。
周砚没有立刻下结论，他继续往下扫，第二条记录紧跟其后：
“D-207:38：同目录权限变更（Permissionchange），操作者：it-admin02，变更内容：将‘运营组-只读’调整为‘运
本章未完，请点击下一页继续阅读！