同事借电脑后异常流畅，我立即重装系统，1小时后技术总监被开除
同事把电脑还给我时，笑着说：“顾工，你这机器真快，跑了一下午测试，一点不卡。”
我坐回工位，按下电源键。屏幕亮起来，比平时快了不少。
我没笑。
那不是一台新机器。它是我自己用了三年的工作站，里面有项目代码、客户调试环境，还有我一点点攒起来的工具。它平常启动开发环境要四十秒，闲置时内存也不会低到那个程度。
那天，十几秒就开好了。
我叫顾承宇，三十三岁，在一家做电力监控软件的公司带五个人的小组。我不爱说话，同事觉得我闷。其实我只是不太会把担心挂在嘴上。电脑出了异常，我习惯先看记录。
那是九月二十六日，周五。
来借电脑的是测试组的郭明，比我小两岁，平时相处还算过得去。他说自己的笔记本跑自动化测试卡得厉害，想用我的工作站两个小时。
“就跑个脚本，结束了我马上还你。”
我把自己账号退出，锁了屏，给他开访客账号。
郭明看着登录界面，说：“用你账号快一点吧？反正就两个小时。”
“不行，公司规定账号不能外借。”
他耸了下肩，没再争。我告诉他访客账号里有测试目录，别碰其他盘。他点头，说知道了。
两个小时后，他把机器还回来，顺手拍了拍机箱。
“你这机器是真爽。”
“跑完了？”
“跑完了，没动你东西。”
他说完就走了。
我那时没多想。回到座位，我打开编译环境，发现它比平时快了二十多秒。接着我打开项目目录，几百兆的文件夹几乎一眨眼就加载出来。
我盯着屏幕看了一会儿，心里冒出一个很不舒服的念头。
电脑不会因为别人用了两个小时就突然变快。除非有人动过里面的东西。
我先拔掉网线，把无线也关了。然后打开事件日志、设备接入记录和我自己维护的防火墙日志。前年组里的代码有过一次异常外传，那之后我开始在自己的机器上留详细记录。那套记录不是公司统一部署的，但数据都在本机，我用它来查登录、外接设备和网络连接。
我花了半个小时，把那两个小时重新拼了出来。
访客账号登录后，有过一次大容量存储设备接入。目录访问记录里，有几个路径被连续读取：我的项目文件夹、客户现场的部署包，还有一份我平时用来排查问题的配置备份。
再看系统变更记录，访客账号运行过几个安装程序。其中一个是远程控制工具，另一个会记录键盘输入，还有一个看起来像清理临时文件的软件。
我没有马上给郭明打电话。
我先把日志原件复制到移动硬盘，记录文件的校验值，再用手机拍下屏幕上的时间和路径。随后，我检查了网络连接记录。
其中一条连接发生在晚上七点二十。
郭明下午借电脑，六点前就还了。那条连接却出现在我下班以后。机器当时没人在旁边，远程控制软件自己连了出去。
我坐在椅子上，手指在桌面上停了半天。
第一反应是郭明偷了代码。可如果只是偷代码，他没必要装远程控制和键盘记录程序，更没必要等到我离开公司以后再连接。
我拨了他的电话。
“郭明，你昨天用我的电脑，有没有装远程控制软件？”
那头静了一下。
“没有啊，顾工。我就跑了个脚本。”
“我这里有安装记录。”
“那可能是你原来就有吧？你机器上那么多东西，我也说不准。”
“还有一个键盘记录程序，也是我原来装的？”
他声音明显低了：“我真不知道。我就是照测试步骤跑了一遍。”
我没再追问，只说：“好。”
挂断后，我没有去找他。那会儿我脑子里有三个可能：他自己起了贪心，替别人办事，或者有人安排他来做这件事。
我不想靠猜。
我打开内网权限系统，查了访客账号的变更记录。九月二十五日，也就是郭明借电脑的前一天，访客账号被开通了文件导出权限。
审批人：技术总监魏启山。
我又查了资产管理页面。我的工作站原本登记为受控开发终端，九月二十五日当天，状态被改成了普通测试设备。操作权限也经过魏启山的审批。
这两项记录放在一起，我才真正觉得冷。
魏启山四十九岁，来公司两年多，职位是技术总监。他管研发，也能审批一些项目权限。我的电脑从受控终端变成普通测试设备，访客账号又恰好获得文件导出权限。第二天，郭明来借电脑，往外拷了东西，还装上远程程序。
我不敢仅凭几条日志认定谁做了什么，但这已经不是同事借电脑的小事了。
我把能确认的记录继续保存下来，连同设备接入时间、文件访问路径、程序安装时间、远程连接记录、权限变更记录，分别做了副本。我还给每份文件算了校验值，写下提取时间。那一晚，我没再连网，也没动电脑里的原始文件。
周五晚上回家后，我几乎没睡好。
我想过要不要直接找魏启山问清楚。最后还是没有去。
如果我拿着一堆还没整理好的记录去问他，他只要说一句“这事是IT配置错误”，我就得继续查；如果他先知道我掌握了什么，记录也可能被改，或者我那台电脑再被远程连一次。
第二天是周六，上午九点，我去了公司。
办公室里只有保洁在走廊拖地。我把工作站接上电源，但没有连接网络。先做完整磁盘镜像，再检查镜像文件是否能读取。确认备份完成后，我才拿出公司标准镜像盘。
九点四十左右，重装开始。
进度条一点点走，我在旁边打开另一台干净的电脑，整理邮件附件。正文很短：
“我负责的项目开发机在九月二十六日被非项目人员使用。期间有文件导出、未经授权的软件安装及远程连接记录。相关资产和权限变更也有审批记录。我请求公司审计、法务和IT安全部门共同核查。”
附件里是日志摘要、设备接入记录、权限审批记录、远程连接时间、我保存的磁盘镜像校验值，以及每份材料的来源说明。我没有把“魏启山窃取资料”写在邮件里，因为我当时没有资格替调查下结论。
十点整，标准系统安装完成。
我检查系统版本、驱动和终端管理状态，又把工作站重新加入公司管理。机器恢复成了正常的受控开发终端。我把网络重新接上，确认没有异常连接后，才打开邮件。
收件人是老板、总经理、法务负责人和IT负责人。
鼠标停在发送键上时，我又想起魏启山平时开会的样子。他说话不急，喜欢把每个问题都归结成“先把业务跑起来”。我也想起自己入职时，他曾说过，技术人最重要的是讲规矩。
我把鼠标移回发送键，点了下去。
十点二十，老板回信，让我去会议室。
会议室里有老板、总经理、法务负责人和IT负责人。我把材料逐项投到屏幕上，讲了登录时间、外接设备、目录访问、软件安装和远程连接。每张截图都带着原始记录位置和时间，没有一句推测。
讲到权限变更时，魏启山被叫了进来。
他站在门边，先看了看屏幕，又看我。
“我不知道这件事。”
法务负责人问：“访客账号的文件导出权限，是你审批的吗？”
魏启山停了几秒，说：“那可能是IT按项目需要开的。”
IT负责人翻开自己的电脑：“变更记录上是你的账号审批的，操作原因写的是临时测试。”
“我记得是郭明提过要跑测试，不记得具体权限。”
“你是否安排郭明使用顾承宇的工作站？”老板问。
魏启山没有立刻回答。他看了我一眼，像是想从我脸上看出什么。
“我让他找一台空闲设备做测试。至于具体用哪台，是他自己安排的。”
法务负责人把一页权限审批记录放到桌面上。
“那这台设备为什么被划出受控终端？”
魏启山没接话。
我没有说“你家宽带”之类的话。那条连接记录只能说明有一条外网连接，不能单独证明连接人在什么地方。我把自己确认不了的内容留在附件里，没有拿它当结论。
老板看着魏启山：“你先把手上的项目资料交给总经理。现在开始暂停系统权限，配合内部审计。”
魏启山脸色变了。
“这事还没查清楚，不能只凭一台电脑的日志就——”
“所以才是内部审计。”老板打断他，“先暂停权限，不等于已经定责。”
魏启山看向我，声音压低了些：“承宇，你先把电脑重装了，原始证据还在不在？”
“镜像和记录都保留着，校验值也在邮件里。”
“你为什么不先跟我说？”
我说：“因为权限变更里有你的审批。我不能先把材料交给被记录的人，请他判断材料是真是假。”
会议室里没人说话。
十一点十分，老板让魏启山先出去，把项目工作交接给总经理。一个小时过去时，魏启山已经离开会议室。他的系统权限被暂停，办公卡也被行政收回。他当天没有继续留在公司。
这就是同事们后来传成“技术总监一小时被开除”的由来。
准确地说，我发出邮件后一个小时，魏启山被暂停职务并要求离开公司配合调查；他的劳动关系是在之后完成调查后解除的。没有人当着我面宣读什么戏剧化的结论，也没有保安把他拖出去。真正发生的事很平静，平静得让我更清楚地知道，事情已经越过了能私下说开的程度。
会议结束后，老板留我在里面。
他问：“你为什么不先口头告诉我？”
我说：“如果我先口头说，您就得先判断是不是误会。邮件把记录、时间和责任人都留了下来。您可以核查，不用先信我，也不用先信他。”
老板没马上答话。
过了一会儿，他说：“你是担心我压下去？”
“我不知道您会不会压。正因为不知道，我才把该看的部门都发了。”
他点了点头，没有说我做得对，也没有说我做得过头。
内部审计持续了几天。郭明被叫去谈话，起初仍说自己只是跑测试。后来，他承认是魏启山告诉他，借我的电脑导出一份代码和部署资料，之后会给他一个项目奖励。
郭明还说，魏启山告诉他那些资料“只是旧版本”，不会影响客户。
审计人员把我的目录访问记录、设备接入记录和权限审批记录对在一起，确认被复制的不止那份代码。至于远程程序是谁安装的，郭明承认是他照着魏启山给的文件装的。他说自己没想那么多，只觉得是工作安排。
我听见这句话时，没去找他。
我不觉得自己有资格替公司决定该怎么处理他。我只知道，他清楚自己没有得到我的同意，也知道那台电脑里有项目文件。他说“我没想那么多”，不能改变他做过什么。
审计没有在公开会上公布全部细节。公司随后解除魏启山的劳动合同，并向相关部门报案。郭明被记大过，调离测试岗位，继续留在公司做基础工作。具体调查结果和后续处理，我没有参与，也没有打听。
有人问我是不是觉得痛快。
我说不出来。
我当时只觉得累。那几天，每次打开系统，我都会下意识检查登录记录。工作站重装完了，项目环境也重新搭起来了，可事情不是把磁盘格式化就能归零。
郭明后来找过我一次。他站在茶水间门口，手里捏着纸杯，半天才说：“顾工，对不起。”
我问：“你为什么答应他？”
他低着头，说：“他说这就是领导安排的，项目急，资料也不算机密。我以为你知道。”
“你借的是我的机器，不是我的同意。”
他抬起头，又低下去。
我没有跟他说原谅，也没有说这辈子不来往。我只告诉他：“以后工作上的事，按流程走。我的账号和电脑，不再借给你用。”
那之后，他没有再来找我借设备。
公司给我做了访谈，问我的日志工具是不是经过许可。我把实际情况说清楚：那套工具是我自己写的，装在个人工作站上，记录范围限于本机登录、设备接入和网络连接。IT负责人要求我把程序和日志格式交给他们检查，我配合了。
检查后，他们让我删除其中一项不符合公司终端规范的记录功能，再由安全部门给我换成公司批准的监控方案。我没有坚持说“这是我的机器，我想装什么就装什么”。
那次我才意识到，电脑归公司资产管理，项目资料属于公司。我的防护习惯可以让我发现异常，但不能代替正式安全制度。此前我把“自保”理解得太简单，觉得自己看得见日志就够了。真出问题，证据来源、记录完整性和权限边界都要讲得清楚。
技术总监离开后，我接手了一部分项目协调工作。老板提过让我做技术副经理，我没有马上答应。
我先把受控开发机的借用流程重新梳理了一遍：需要借用时由使用人提交申请，项目负责人确认目录范围，IT开临时环境，操作结束后自动回收权限。有人问能不能直接把机器拿去跑脚本，我就说：“可以，但先给你开测试环境。工作站里有项目数据，不能用个人账号图省事。”
这话我说得很平常，不再像过去那样怕别人觉得我不近人情。
一个月后，新的借用流程开始执行。郭明没有再碰我的电脑。公司也把所有开发机重新核对了一遍，把那些权限过宽的访客账号收了回来。
有人在午饭时跟我说：“你那天重装系统，反应真快。一个小时就把魏总监弄走了。”
我纠正他：“不是我把他弄走的。是我把记录交上去，公司按流程查。”
“可要不是你，他可能还在。”
“也许。但我能做的只有把我知道的事说清楚。”
那台工作站一直留在我工位上。新系统很干净，编译时间恢复到正常范围，客户调试环境也重新部署好了。每次有人过来问能不能借，我还是会帮忙，只是先问他要跑什么，再打开对应的测试环境。
系统重装的那个上午，我只用了一个小时。
这一小时里，我恢复了机器，也把事情交给了该处理的人。技术总监最终被开除，不是因为我一句话，也不是因为某张截图，而是因为一串经得起核查的权限记录、设备记录和工作安排，连在一起指向了他自己的选择。
我没有在这件事里得到什么胜利感。
但从那天起，我知道了，信任不是让别人随便进入你的账号，也不是把怀疑藏到关系里。能交给别人核查的事实，比愤怒更有用；该划清的边界，也不必等到事情出大问题后才划。
电脑异常流畅的那一刻，我没有问郭明为什么。
我先断了网，保存记录，重装系统。一个小时后，魏启山被暂停职务。后来，他被公司解除劳动关系。
中间没有我想象中的大喊大叫，只有一封邮件、几份记录，和一群人坐在会议室里，一项一项核对事实。
热门跟贴