VPN audita ziņojuma lasīšana: apjoms svarīgāks par zīmi

Zīmes ir lēti parādīt un dārgi interpretēt. Publicēts audita ziņojums ir ierobežots inženierijas darba gabals: nosaukts vērtētājs pārbaudīja nosauktas komponentes nosauktā versijā, ar norādītu metodi un laika budžetu. Šie četri fakti nosaka, ko secinājums var pamatot, un tie parasti ir pirmajās lappusēs, nevis mārketinga kopsavilkumā. To izlasīšana aizņem desmit minūtes un novērš bieži sastopamo kļūdu attiecināt klienta lietotnes atradumu uz visu pakalpojumu.

Ko apjoma sadaļa patiešām ierobežo

Apjoma paziņojums ir žogs, un viss ārpus tā paliek neatbildēts, nevis izturēts. Ziņojumi uzskaita pārbaudītās komponentes, commit diapazonu vai build identifikatoru, izmantoto vidi un atļauto mijiedarbības modeli. Darbvirsmas klients, mobilā lietotne, servera kods, konta backend un ražošanas infrastruktūra ir pieci dažādi subjekti, un uzdevums var aptvert jebkuru to apakškopu.

Izslēgumi ir tikpat svarīgi kā iekļāvumi, jo tie tiek norādīti apzināti un lasīti nevērīgi. Kontu sistēma, kas aprakstīta kā ārpus apjoma, netiek netieši uzskatīta par drošu, un no uzdevuma izlaista mobilā lietotne vienkārši nav pārbaudīta. Savos pierakstos atzīmējiet katru nepārbaudīto komponenti kā nezināmu un pretojieties kārdinājumam aizpildīt robu ar reputāciju.

Divu veidu testi atbild uz dažādiem jautājumiem

Pirmkoda pārskatīšana un izpildlaika testēšana meklē dažādas kļūmes. Kodu lasošs recenzents var izsekot atslēgas atvasināšanai, pamanīt trūkstošu garuma pārbaudi un spriest par visu parsētāju, to neizpildot. Testētājs pret darbojošos pakalpojumu atklāj, ko izvietotais build patiešām dara: sertifikātu, ko lietotne atsaka, vēl iespējotu rezerves protokolu, galapunktu, kas noplūdina versijas reklāmkarogu caur konfigurāciju, kuru neviens nav pārskatījis.

Neviens neaizstāj otru, un ziņojums parasti nosauc, kurš tika veikts. Kad kopsavilkums bez šīs atšķirības saka «auditēts», neskaidrība ir kopsavilkumā, nevis ziņojumā.

Piekļuves ierobežojumi dara to pašu. Melnās kastes uzdevums neredz servera konfigurāciju, un arhitektūras pārskats, kas nekad nepieskaras izvietotam galapunktam, nevar pamanīt, ka ražošana atšķiras no shēmas. Abi ir likumīgi; to rezultātu sajaukšana nav.

Kā atradums kļūst par labotu versiju

Ziņojuma vērtīgā puse ir labošanas tabula: katrs atradums, tā smagums pēc vērtētāja metodes, operatora atbilde un atkārtotā testa rezultāts. Smaguma skaitļi nāk no izvēlētas metodoloģijas, nevis no dabas, tāpēc salīdziniet smagumus vienā ziņojumā, nevis starp diviem ar dažādām skalām.

Pēc tam saistiet labojumu ar izlaisto programmatūru. Labots atradums lietotājam ir svarīgs tikai tad, kad instalētā versija ir tā, kas satur labojumu, tāpēc ziņojuma build identifikators un izlaiduma izmaiņu žurnāls jālasa kopā. Atkārtots tests, kas aptvēra labojumu, aizver loku; nepārbaudīts labojums ir apgalvojums. Tāds ir arī labojums, kas izlaists tikai zarā, kuru neviena stabila izlaiduma versija nekad nav apvienojusi.

Ko zīme nevar jums pateikt

Atradumu neesamība nav defektu neesamības pierādījums. Īss uzdevums ar fiksētu budžetu kaut ko palaidīs garām, un tīra ziņojuma godīga lasīšana ir tāda, ka vērtētājs nav atradis tās problēmu klases, ko meklēja pieejamajā laikā.

Zīme arī nevar runāt par īpašībām ārpus sava apjoma. Apgalvojumi par žurnālu praksi, jurisdikciju vai glabāšanu dzīvo politikas dokumentā, nevis klienta lietotnes auditā, un neviena vērtētāja reputācija nešķērso šo robežu.

Fiksēt pierādījumus, ko varat aizstāvēt

Rakstiet citātu trīs daļās: komponente, versija un apstiprinātais labojums. Publicēts uzdevums, piemēram, Mozilla pasūtītais VPN audits pamato tieši tos apgalvojumus, ko apraksta tā apjoms, un neko plašāku, kas joprojām ir diezgan vērtīgi, ja citāts ir precīzs. Tas pats ziņojums, kas citēts kaut kam, ko tas nekad nav pārbaudījis, ir mazāk vērts par citāta neesamību, jo tas aicina uz uzticēšanos, ko neviens nav nopelnījis.

Kad apgalvotā īpašība paliek ārpus visiem pieejamajiem ziņojumiem, atstājiet to dokumentā neatrisinātu. Neatrisināta rinda aicina uz papildu jautājumu; zīme ne. Vienīgais izņēmums ir īpašība, ko atrisina cits, tikpat konkrēts dokuments, un tad mainās citāts, nevis apgalvojums.

Vēl divi ieradumi padara lasīšanu noturīgu: atzīmējiet ziņojuma datumu attiecībā pret izlaidumu, ko patiešām izmantojat, un saglabājiet atšķirību starp to, kas testēts, un to, ko izvietojāt. Abi pārvērš uzticēšanās lēmumu par kaut ko, ko kolēģis var pārbaudīt.