技术负责人周鹏把导出日志投到屏幕上时，会议室里没人再说话。

那是一张从权限系统后台拉出的操作记录，灰底白字，字段密密麻麻。账号、动作、表名、时间、IP、客户端、结果。最醒目的那一行被周鹏用黄色标了出来。

账号：liangshu。

动作：export。

对象：user_contact_mapping_sensitive。

结果：success。

时间：02:13:47。

陈砚秋盯着那串英文表名，指节攥紧了。财务罗主管把笔放轻。梁舒坐在靠门的位置，工牌还挂在胸前，手指搭着纸杯边缘。

她的复核台账权限，是林听晚亲自划过边界的。

可查看授权编号及使用范围，不可导出用户联系方式，不可代改审批状态。

这三句话写在权限申请单上，也写在第一份内控清单附件里。现在屏幕上那行「导出敏感表」，正好压在她权限边界之外。

周鹏声音发紧：「系统日志显示，导出动作由梁舒账号完成。表里包含用户联系方式映射关系，不属于梁舒的复核范围。」

有人低声说：「那不就是越权了吗？」

梁舒的手抖了一下。

陈砚秋皱眉：「先暂停梁舒全部权限。」

「可以暂停高风险权限。」林听晚开口，「但不能把暂停权限写成责任结论。」

大家的目光都看向林听晚。林听晚看着屏幕上的日志，把笔尖点在桌面上。

「周鹏，把原始日志编号读出来。」

周鹏愣了一秒：「原始日志？」

林听晚说：「不是截图。我要知道它对应哪一条原始日志，存储位置，生成时间，是否已保全。」

周鹏立刻切到后台：「日志源是权限网关，索引编号AUTH-GW-0429-0-8891，归档在安全日志库。还没做证据保全，我现在申请只读封存。」

「申请人写你，审批人写陈总，抄送审计顾问。」

林听晚拿起白板笔，写下第一行：账号导出不等于本人导出。梁舒抬了一下眼，又很快低下去。

她继续问：「设备呢？」

周鹏把同一条日志展开：「设备名显示DESKTOP-LS-01，浏览器UA是Chrome 119，Windows 10。」林听晚说：「设备名可以改。」「是。」周鹏顿了顿，「设备指纹尾号是7F3A。梁舒现在使用的工作电脑尾号是C19B。」

周鹏看了梁舒一眼，马上查资产表：「对，梁舒工位电脑登记的设备指纹尾号C19B，资产编号YY-NB-034。7F3A不是梁舒当前电脑。」

会议室里有人吸了口气。

刚才那句「越权了」的人没再说话。

她没有让气氛松下来：「7F3A是谁的设备？」「资产库里查不到完整绑定。」周鹏敲键盘，「只显示曾经在内网接入过，设备名当时是TEMP-OPS-07。最近一次资产扫描是在两周前，没有登记到个人。」

「临时设备为什么能进内网？」技术负责人被问得停了一下：「早期为了仓库和活动现场方便，有一批临时机没纳入新资产系统。后来清退过一轮，可能还有漏网。」

林听晚在白板第二行写下：设备指纹不一致，待核临时设备来源。陈砚秋没说话，目光从白板移到周鹏脸上。一个新人越权是人员事故，一台未登记临时设备能用新人账号导出敏感表，是流程事故。林听晚接着问：「IP。」

周鹏把字段放大：「10.8.16.42，内网地址。出口公网IP是公司办公网。」「内网接入点？」「我查交换机日志。」周鹏又切系统，「连接在四楼东区无线AP，SSID是YUE-Office-Guest，凌晨两点十二分上线，两点十八分下线。」

罗主管问：「凌晨两点，公司还有人？」

她看向行政许萌：「门禁调了吗？」

许萌立刻回：「昨天二十三点到今天三点的门禁在导。初步看，梁舒二十一点二十六分离开，之后没有进门记录。但完整记录还要行政主管导出签字。」

梁舒的指尖又颤了一下。

这一次，她把手放到桌下，没有抢话。

林听晚说：「门禁只能证明她的工牌没有进门。继续查访客码、电梯、公共区摄像头。不要用一个记录直接排除，也不要用一个账号直接定责。」许萌点头：「明白。」林听晚把第三行写上：登录地点为公司内网，需核门禁、AP、访客及设备接入。

她转回周鹏：「登录时间。」

周鹏把会话拉出来：「凌晨两点十一分三十二秒登录成功，两点十三分四十七秒执行导出，两点十四分零五秒下载完成，两点十八分退出。之前两点零九分有一次密码错误，两点十分第二次成功。」周鹏停顿明显更久。

「二次验证呢？」

她看着他：「她这个权限组不是应该开启二次验证？」

小主，这个章节后面还有哦，请点击下一页继续阅读，后面更精彩！