Ce que couvre réellement un rapport de transparence VPN

Ouvrez le rapport et lisez le périmètre avant les chiffres. Quelle période, quels produits, quels mécanismes juridiques et quelles catégories de demandes sont tous indiqués quelque part près du début. Un total en titre sans ces précisions est un artefact marketing assorti d’une citation. Quatre étapes en refont une preuve.

La partie intéressante d’un rapport de transparence est généralement les définitions, pas le tableau.

Lisez d’abord la ligne de périmètre

Vérifiez la période, les produits couverts et les catégories juridiques. Un rapport peut couvrir le service grand public et non le produit professionnel, ou l’inverse. Les juridictions comptent aussi, car une demande relevant d’un mécanisme juridique n’est pas la même qu’une autre. Si le périmètre est ambigu, les totaux ne peuvent être comparés aux totaux d’aucun autre opérateur, et le graphique d’un billet de blog qui les compare est une décoration.

L’absence d’événements signalés n’est pas la preuve d’une absence de journalisation. Elle indique que rien n’a été signalé dans les catégories indiquées, ce qui est une affirmation bien plus étroite.

Les unités ne sont pas interchangeables

Une demande, un compte, un incident et un enregistrement divulgué sont quatre unités différentes. Un rapport peut compter des demandes tout en divulguant des comptes, ou agréger des événements pour des raisons de confidentialité. Comparer un chiffre par demande d’un opérateur à un chiffre par compte d’un autre produit un graphique qui ne signifie rien. Gardez l’unité attachée au chiffre, dans vos notes comme dans vos conclusions.

Si la méthodologie est floue, conservez l’incertitude plutôt que de la résoudre par une supposition. Un honnête « non comparable » est plus utile qu’un tableau soigné bâti sur une conjecture.

Qui publie réellement

Identifiez l’organisation qui publie le document et les systèmes qu’elle exploite. Un projet client, un site annuaire et un point de terminaison hébergé indépendamment peuvent être trois parties différentes, et un rapport de l’une ne dit rien des autres. Les partenaires d’infrastructure et les serveurs bénévoles sont souvent entièrement hors périmètre. C’est un fait sur l’écosystème, pas une critique du rapport.

La continuité mérite aussi d’être vérifiée. Une archive claire, des définitions stables et des explications des changements significatifs sont ce qui rend la lecture année après année possible. Une publication unique sans historique est plus difficile à interpréter qu’une publication modeste qui a un historique.

Placez-le à côté de l’audit, pas à sa place

Un audit technique examine des composants et des contrôles, avec sa propre déclaration de périmètre et ses propres limites. C’est un instantané d’une période, pas une propriété permanente de l’opérateur. Il peut vous renseigner sur la configuration et les processus d’un système ; il ne peut pas vous dire combien de demandes sont arrivées. Utilisez les deux, et lisez le périmètre de chacun plutôt que de supposer que l’autre comble le manque. Un audit qui exclut l’infrastructure concernée ne répond rien à son sujet.

La question pratique est de savoir si l’opérateur donne des réponses concrètes à votre préoccupation réelle. Si la préoccupation est la conservation, cherchez une déclaration de conservation et les preuves d’infrastructure derrière elle ; un tableau du nombre de demandes n’est pas cela.

Lisez le périmètre, les unités, l’éditeur et les limites de l’audit. Décidez ensuite si le document dit quelque chose sur votre question.