Как да четем одитен доклад за VPN: обхватът е по-важен от значката

Значките са евтини за показване и скъпи за тълкуване. Публикуваният одитен доклад е ограничено парче инженерна работа: посочен оценител е прегледал посочени компоненти, при посочена версия, с обявен метод и бюджет за време. Тези четири факта определят какво може да подкрепи заключението и обикновено са на първите няколко страници, а не в маркетинговото резюме. Четенето им отнема десет минути и предотвратява честата грешка да се разшири констатация за клиентско приложение към цяла услуга.

Какво всъщност ограничава разделът за обхват

Изявлението за обхват е ограда и всичко извън нея е без отговор, а не издържано. Докладите изброяват прегледаните компоненти, диапазона от комити или идентификатора на сборката, използваната среда и разрешения модел на взаимодействие. Настолен клиент, мобилно приложение, сървърен код, бекенд на акаунтите и продукционна инфраструктура са пет различни обекта и ангажиментът може да покрива произволно подмножество от тях.

Изключенията имат същото значение като включванията, защото се посочват умишлено, а се четат небрежно. Система за акаунти, описана като извън обхват, не се подразбира като сигурна, а мобилно приложение, оставено извън ангажимента, просто не е прегледано. Отбелязвайте всеки нетестван компонент в бележките си като неизвестен и се съпротивлявайте на подтика да запълните празнината с репутация.

Два вида тестване отговарят на различни въпроси

Прегледът на изходния код и тестването по време на изпълнение търсят различни дефекти. Рецензентът, който чете код, може да проследи извеждането на ключ, да забележи липсваща проверка на дължината и да разсъждава за целия парсер, без да го изпълнява. Тестерът срещу работеща услуга открива какво всъщност прави разгърнатата сборка: сертификат, който приложението отказва, резервен протокол, който все още е включен, крайна точка, която издава банер за версия чрез конфигурация, която никой не е прегледал.

Нито едното не замества другото и докладът обикновено посочва кое е извършено. Когато резюме казва „одитирано“ без това разграничение, двусмислието е в резюмето, не в доклада.

Ограниченията на достъпа правят същото. Ангажимент „черна кутия“ не вижда сървърната конфигурация, а преглед на архитектурата, който никога не докосва разгърната крайна точка, не може да забележи, че продукцията се различава от диаграмата. И двете са законни; смесването на резултатите им не е.

Как една констатация става поправена версия

Ценната половина на доклада е таблицата за отстраняване: всяка констатация, нейната тежест по метода на оценителя, отговорът на оператора и резултатът от повторното тестване. Числата за тежест идват от избрана методология, а не от природата, затова сравнявайте тежести в един доклад, а не между два с различни скали.

След това свържете поправката с издадения софтуер. Поправената констатация е важна за потребителя само когато версията, носеща поправката, е инсталираната, поради което идентификаторът на сборката в доклада и списъкът с промени на изданието трябва да се четат заедно. Повторно тестване, което е покрило поправката, затваря цикъла; нетествана поправка е твърдение. Такова е и поправка, издадена само в клон, който никое стабилно издание не е сляло.

Какво значката не може да ви каже

Липсата на констатации не е доказателство за липса на дефекти. Кратък ангажимент с фиксиран бюджет ще пропусне неща и честното четене на чист доклад е, че оценителят не е намерил класовете проблеми, които е търсил, за наличното време.

Значката също не може да говори за свойства извън своя обхват. Твърденията за практиките на логване, юрисдикцията или съхранението живеят в документ за политика, а не в одит на клиентско приложение, и никаква репутация на оценителя не преминава тази граница.

Записване на доказателства, които можете да защитите

Напишете цитата в три части: компонентът, версията и проверената поправка. Публикуван ангажимент като одита на VPN, възложен от Mozilla подкрепя точно твърденията, които обхватът му описва, и нищо по-широко, което все още струва доста, когато цитатът е точен. Същият доклад, цитиран за нещо, което никога не е преглеждал, струва по-малко от липса на цитат, защото кани доверие, което никой не е заслужил.

Когато твърдяно свойство попада извън всеки наличен доклад, оставете го нерешено в документа. Неразрешен ред кани уточняващ въпрос; значката не. Единственото изключение е свойство, което решава друг, също толкова конкретен документ, и тогава се променя цитатът, а не твърдението.

Още два навика правят четенето трайно: отбележете датата на доклада спрямо изданието, което всъщност използвате, и пазете разликата между това, което е тествано, и това, което сте разположили. И двете превръщат едно решение за доверие в нещо, което колега може да провери.