Hva en VPN-transparensrapport faktisk dekker

Åpne rapporten og les omfanget før tallene. Hvilken periode, hvilke produkter, hvilke rettslige mekanismer og hvilke kategorier av forespørsler står alle et sted nær begynnelsen. Et overskriftstall uten disse forbeholdene er et markedsføringsartefakt med en kildehenvisning. Fire trinn gjør det til bevis igjen.

Den interessante delen av en transparensrapport er vanligvis definisjonene, ikke tabellen.

Les omfangslinjen først

Sjekk perioden, produktene som dekkes og de rettslige kategoriene. En rapport kan dekke forbrukertjenesten og ikke forretningsproduktet, eller omvendt. Jurisdiksjoner betyr også noe, fordi en forespørsel etter én rettslig mekanisme ikke er det samme som etter en annen. Hvis omfanget er uklart, kan totalene ikke sammenlignes med noen annen operatørs totaler, og diagrammet i et blogginnlegg som sammenligner dem, er dekorasjon.

Fravær av rapporterte hendelser er ikke bevis for fravær av logging. Det sier bare at ingenting ble rapportert under de angitte kategoriene, noe som er en mye snevrere påstand.

Enheter kan ikke byttes ut

En forespørsel, en konto, en hendelse og en offentliggjort post er fire forskjellige enheter. En rapport kan telle forespørsler mens den offentliggjør kontoer, eller slå sammen hendelser av personvernhensyn. Å sammenligne et tall per forespørsel fra én operatør med et tall per konto fra en annen gir et diagram som ikke betyr noe. Hold enheten knyttet til tallet, i notatene og i konklusjonene dine.

Hvis metoden er uklar, behold usikkerheten i stedet for å løse den med en antakelse. Et ærlig "ikke sammenlignbart" er nyttigere enn en ryddig tabell bygget på en gjetning.

Hvem som faktisk publiserer

Identifiser organisasjonen som publiserer dokumentet, og systemene den driver. Et kundeprosjekt, et katalognettsted og et selvstendig hostet endepunkt kan være tre forskjellige parter, og en rapport fra én sier ingenting om de andre. Infrastrukturpartnere og frivillige servere er ofte helt utenfor omfanget. Det er et faktum om økosystemet, ikke en kritikk av rapporten.

Kontinuitet er også verdt å sjekke. Et tydelig arkiv, stabile definisjoner og forklaringer på vesentlige endringer er det som gjør lesing år for år mulig. En enkelt publikasjon uten historikk er vanskeligere å tolke enn en beskjeden en med en journal.

Sett den ved siden av revisjonen, ikke i stedet for den

En teknisk revisjon undersøker komponenter og kontroller, med sin egen omfangserklæring og egne grenser. Det er et øyeblikksbilde av en periode, ikke en varig egenskap ved operatøren. Den kan fortelle om et systems konfigurasjon og prosesser; den kan ikke fortelle hvor mange forespørsler som kom inn. Bruk begge, og les omfanget til hver, i stedet for å anta at den andre dekker gapet. En revisjon som utelukker den relevante infrastrukturen, svarer ingenting om den.

Det praktiske spørsmålet er om operatøren gir konkrete svar på din faktiske bekymring. Hvis bekymringen er lagring, se etter en lagringserklæring og infrastrukturbevisene bak den; en tabell med antall forespørsler er ikke det.

Les omfanget, enhetene, utgiveren og grensene for revisjonen. Bestem deretter om dokumentet sier noe om spørsmålet ditt.