18:46:05插入USB设备。
这个时间点与门禁记录里“王XX进入”几乎重合。更关键的是，USB设备ID是一串可以追溯的硬件信息——只要找到谁在公司资产登记里用过这个设备，或谁的电脑曾识别过这个设备，链条就能往下走。
周砚把这条记录截取出来，放进一份新的文档《302追溯交叉证据链补强（USB设备轨迹）》里，先写事实再写请求项：
-事实：302公用电脑18:46:05插入USB设备，随后访问登录页，18:47:03清理历史，19:01触发三次失败登录。
-请求：调取公司终端管理系统（如有）中USB设备ID识别记录；调取资产管理登记里对应USB设备归属；调取18:46—18:49涉事人员电脑USB识别日志（范围限定：门禁刷卡进入人员对应工位设备）。
他没有写“就是王XX”，也没有写“就是阿远”。他写的是“范围限定”。只要范围被限定，调查就不能再无限稀释成“全公司排查”，也不能被拖成“无法锁定”。
11:52，他把这份补强文档发给信息安全部负责人，抄送梁总与法务。主题写得极干净：
《302追溯补强：公用电脑插入USB设备记录（需按设备ID交叉核查归属）》
邮件正文只三句话：
“1.本地事件日志显示18:46:05插入USB设备（设备ID见附件截图），随后访问登录页并清理部分历史；
2.建议按USB设备ID在终端管理/资产管理中交叉核查归属，并在门禁刷卡人员范围内限定排查；
3.该链路可替代监控缺失时段的关键证据，建议尽快形成阶段性结论，避免持续悬置影响项目核心账号定性。”
发送后，截图归档。
他不等对方“配合”，他只把证据推到他们脸上，让他们必须面对。
12:30，午休时间，办公区反而更吵，大家在讨论“HR确认书撤回了”“梁总今天火气好大”。周砚没参与，坐在工位上整理现场回访的数据，把“到访后2小时确认短信”完成率、二次到访意向跟进率、未响应用户的回访计划，全部补进当日闭环。
他要让项目结果继续产生惯性——惯性越
本章未完，请点击下一页继续阅读！