第五十章：保全令落地(2/3)

首发：~第五十章：保全令落地

1）在编排系统里将RouteHealthGuardian所有恢复动作开关置为OFF；

2）在IAM里冻结itops_superadmin与itil_admin及其所有子凭据，并导出冻结事件；

3）在代码仓上锁：禁止forcepush、禁止历史重写、开启强制审批与签名提交。

这三件事，不靠承诺，靠审计事件。

供应商技术负责人操作时手都在出汗。编排系统里“AutoRecoveryEnabled=true”的那一行被改成false，点击保存时系统弹出审计提示：需要ApprovalRef。

这一次，他们不得不填。供应商填了一个编号，周负责人让法证员抄录，然后立即导出变更前后配置快照，计算哈希。每一个开关的关闭，都变成可复核的证据。

冻结账号时更有戏剧性。

itops_superadmin冻结成功，事件写得干净：冻结者、时间戳、原因、审批号，都齐了。轮到itil_admin时，系统弹出提示：“该账号近24小时发生异常登录尝试，风控建议立即锁定并触发二次核验。”

周负责人没有评论，只让取证员把异常尝试的原始字段导出：来源IP、时间戳、失败原因。

异常来源IP不在供应商办公网段，像从某个外部网络跳进来，尝试失败了三次。

供应商合规负责人赶紧解释：“可能是账号泄露，我们会内部排查。”

周负责人看着他：“你们的账号是否泄露，属于你们安全管理问题。现在的问题是：在保全令下发后，仍有人尝试触碰关键账号，这说明风险仍在。我们会把这条异常尝试纳入阶段报告。”

异常尝试被写进报告，意味着“有人仍想拿钥匙”。

有人是谁，下一步就会被追。

中午十二点半，供应商提交了“24小时解释材料”的第一版。

材料厚，结构也像模板：背景、目的、历史遗留、行业惯例、现已整改、保证不再发生。可周负责人只问四个问题——也是林昼一直强调的“四链”：

1）审批链：谁批准了MedicalTenantOverride？批准文件在哪里？

2）授权链：谁批准RouteHealthGuardian持有GeoFence.Write与Freeze.ControlWrite？

3）运行记录：过去六个月该脚本执行过多少次高危动作？成功多少、失败多少、拒绝多少？

4）回收证据：你们说已回收scope与凭据，回收事件在哪？时间戳与哈希在哪？

供应商材料里前两条写得最虚：用“历史遗留”“为了可靠性”含糊过去。第三条干脆写“正在统计”，第四条写“已申请回收”。

“正在统计”“已申请回收”在取证面前等于零。

周负责人当场退回：“我们不接受口头、也不接受‘正在统计’。请补齐原始导出：日志里统计不是你们手工写的数字，而是可验证的查询结果。回收不是申请，而是事件。没有事件，就没有回收。”

监管也跟着补了一句：“补齐时限：今晚八点前。”

时限被写出来，对方就没有拖延空间。拖延等于不配合。

下午三点，许景再次被叫去“配合说明”。

这一次不再是人事，而是原医院信息科的一名副主任——一个说话很温和、却句句带钩的人。

对方问的第一句就很危险：“许景，你是不是把内部日志给了外部？”

许景按律师提醒，回答很短：“我向医院法务与监管提供材料，属于依法配合。”

副主任继续问：“你有没有把脚本代码说成‘暗门’？你知不知道这种措辞会造成什么影响？”

许景仍旧只讲事实：“我没有评价措辞。我只提供了我看到的执行记录与时间戳。结论以取证审计为准。”

副主任把一张纸推过来——这不是声明，但更像圈套：一份“情况说明”，里面已经写好一句话：“本人承认存在未经授权对外传递信息行为。”

律师直接把纸按住：“我们不接受预设结论的文本。若需说明，请以问答笔录形式记录，事实项由当事人陈述。”

副主任笑了一下：“你们这么紧张干什么？我们只是走流程。”

律师看着他：“流程不是陷阱。请尊重取证期间的监管指令。”

副主任把纸收回，脸色却明显冷了。

许景出来时腿发软，手心全是汗。他给林昼发了一句：“他们想让我签认定。”

林昼回：“你没签就对。越是预设结论，越说明他们急。急说明他们怕四链被补齐后喽底。”

许景隔了很久才回：“我扛得住。”

“扛得住”背后通常是硬撑。林昼把这条消息转给法务，附了一句：建议立即在监管渠道备案“预设结论文本施压”。施压不一定构成违法，但会被写进“不配合记录”的边栏里。边栏写得多了，后果会变重。