Hvad en VPN-transparensrapport egentlig dækker

Åbn rapporten, og læs omfanget før tallene. Hvilken periode, hvilke produkter, hvilke retlige mekanismer og hvilke kategorier af anmodninger står alle optegnet et sted nær begyndelsen. Et hovedtal uden de forbehold er et marketingartefakt med en kildehenvisning. Fire trin gør det igen til bevis.

Den interessante del af en transparensrapport er som regel definitionerne, ikke tabellen.

Læs omfangslinjen først

Tjek perioden, de dækkede produkter og de retlige kategorier. En rapport kan dække forbrugerproduktet og ikke forretningsproduktet, eller omvendt. Jurisdiktioner betyder også noget, fordi en anmodning under én retlig mekanisme ikke er det samme som under en anden. Hvis omfanget er uklart, kan totalerne ikke sammenlignes med nogen anden operatørs totaler, og diagrammet i et blogindlæg, der sammenligner dem, er dekoration.

Fravær af rapporterede hændelser er ikke bevis for fravær af logning. Det siger, at intet blev rapporteret under de angivne kategorier, hvilket er en meget snævrere påstand.

Enheder kan ikke udskiftes

En anmodning, en konto, en hændelse og en offentliggjort post er fire forskellige enheder. En rapport kan tælle anmodninger, mens den offentliggør konti, eller sammenlægge hændelser af privatlivshensyn. At sammenligne et tal for hver anmodning fra én operatør med et tal for hver konto fra en anden giver et diagram, der intet betyder. Hold enheden knyttet til tallet, i dine noter og i dine konklusioner.

Hvis metoden er uklar, så behold usikkerheden i stedet for at løse den med en antagelse. Et ærligt "ikke sammenligneligt" er mere nyttigt end en pæn tabel bygget på et gæt.

Hvem udgiver egentlig

Identificér den organisation, der udgiver dokumentet, og de systemer, den driver. Et kundeprojekt, et katalogsite og et selvstændigt hostet endepunkt kan være tre forskellige parter, og en rapport fra én siger intet om de andre. Infrastrukturpartnere og frivillige servere er ofte helt uden for omfanget. Det er et faktum om økosystemet snarere end en kritik af rapporten.

Kontinuitet er også værd at tjekke. Et klart arkiv, stabile definitioner og forklaringer på væsentlige ændringer er det, der gør læsning år for år mulig. En enkelt publikation uden historik er sværere at fortolke end en beskeden en med en historik.

Sæt den ved siden af revisionen, ikke i stedet for den

En teknisk revision undersøger komponenter og kontroller, med sin egen omfangserklæring og sine egne grænser. Det er et øjebliksbillede af en periode, ikke en permanent egenskab ved operatøren. Den kan fortælle om et systems konfiguration og processer; den kan ikke fortælle, hvor mange anmodninger der ankom. Brug begge, og læs hver enkelts omfang i stedet for at antage, at den anden dækker hullet. En revision, der udelukker den relevante infrastruktur, svarer intet om den.

Det praktiske spørgsmål er, om operatøren giver konkrete svar på din faktiske bekymring. Hvis bekymringen er opbevaring, så led efter en opbevaringserklæring og infrastrukturdokumentationen bag den; en tabel med antal anmodninger er ikke det.

Læs omfanget, enhederne, udgiveren og revisionens grænser. Beslut derefter, om dokumentet siger noget om dit spørgsmål.