定性为治理失效。**

---

下午三点，联合取证回到医院，召开临时复盘会。

周负责人把CI/CD取证结果用最简短的方式概括：

1）管道中存在高危凭据HIGH_SCOPE_TOKEN，创建审批引用为空；

2）管道脚本存在默认绕过审计引用开关AUDIT_REF_OPTIONAL=true；

3）04:05发生ForceDeploy，审批链为空，发布目标含策略配置包；

4）itil_admin存在海外登录成功行为，操作序列指向凭据查询与作业检查；

5）上述事实与租户侧脚本逻辑、平台侧拒绝事件、异常签名请求相互闭环。

监管联络人听完，只说一句：“从整改走向调查。”

这句“调查”落下时，会议室里每个人都明白意味着什么：供应商不再只是“需要整改的合作方”，而可能成为“涉嫌违反网络安全管理义务的主体”，甚至可能存在更深层的违法线索。

网安技术人员补充：“接下来我们会做两件事：一，追海外IP归属与登录路径；二，排查是否存在凭据外泄链路。请医院协助保护证人，尤其是提供线索的人。”

提供线索的人——Q7。

林昼突然想起那封邮件的代号，想起“别回我”。那不是故作神秘，是害怕被定位。

他问：“能否确定Q7是谁？”

周负责人摇头：“我们不会让你去查。我们会通过邮件头与传输路径去追线索源，但在未确认前，任何猜测都可能害死线人。”

“害死”这两个字说得很重，却并非夸张。在这种对抗里，线人的职业生涯、收入、家庭都可能被摧毁。比起技术风险，人更脆。

信息安全负责人当场提出：“医院侧启动证人保护提醒：任何对证人施压、调岗、解聘、扣帽子，全部记录并上报监管与网安。我们也会安排心理支持与法律援助。”

监管联络人点头：“会下发提醒。”

会议结束时，周负责人把一份“阶段报告提纲”递给法务，重点标注了一条：**“默认绕过机制属于架构性风险，不得以个案处分替代整改。”**

林昼看到这句话，心里稍微松了一点。至少审计机构与监管没有被“替罪羊策略”牵走。

---

傍晚六点二十，风暴从另一个方向吹来——供应商的律师函。

法务把邮件打印出来递给林昼，标题写得很刺眼：《关于停止侵害商誉及不实传播的律师函》。内容大意是：要求医院