能冒险在上班时间用公司电脑连接外部网络发送敏感邮件，那太容易被追踪IP。那么，很可能是用私人设备，通过非公司网络（比如手机热点、公共Wi-Fi）发送。但那些截图的来源呢？是从公司内部设备上截取、然后传输到私人设备上的？还是直接用私人设备对内部屏幕进行了拍摄？
如果是后者，那意味着内鬼在某个时间点，用私人手机或相机，对显示着涉密内容的电脑屏幕进行了拍摄。这个动作，必然发生在某个特定的、能接触到这些信息的场合和时间。
张艳红猛地睁开眼睛，抓起红笔，在名单上快速圈出几个名字，又在旁边的空白纸上写下几个关键词：接触时机、接触场合、设备使用、异常行为、近期动向、利益关联。
她没有技术手段，但她可以用最笨的办法，像拼图一样，从这些琐碎的、不引人注意的细节里，寻找可能的线索。
首先，是那份“第二次技术对接会议纪要”。这份纪要，由她整理，经陈炜审核后，发送给了参会人员（陈炜、工程师A、B，她自己，抄送林薇、李浩然、赵雪），并上传至项目内部共享盘（有权限的包括上述人员，以及IT支持、总裁办机要）。泄密截图显示的是纪要中关于“动态心率变异分析模块优化方向”的具体讨论要点。这部分内容，是陈炜和康悦技术负责人口头讨论，她现场记录，会后经陈炜确认的。谁能接触到完整的纪要电子版？名单上所有人。但谁能接触到当时讨论的“原始场景”？只有当时在场的人——陈炜、工程师A、B，她自己，以及后来看过纪要的极少数核心人员。
其次，是那封“索要测试数据邮件”的截图。这封邮件是她起草，陈炜审核后发出，康悦回复。截图显示的是邮件正文和康悦回复的部分内容。谁能接触到这两封邮件的完整内容？同样，是接收和抄送列表上的人。
内鬼要拿到这些截图，要么是直接访问了相关的电子文件（会议纪要文档、邮件原件或服务器备份）进行截图，要么是在某个能看到这些文件内容的场合（比如别人电脑屏幕、打印出来的纸质文件）进行了拍摄。
她开始回忆，在泄密发生前的一段时间里，有哪些场合，这些文件被集中查阅或讨论过？
技术复盘会。大约在泄密前五天，陈炜召集了一次小范围的技术复盘会，只有他和两名核心工程师参加，地点在三十四楼的小会议室。会议内容就是回顾与康悦的技术对接情况，其中重点讨论了“动态心率变异分析模块”的优化难点。当时，陈炜用自己的笔记
…。。