Wat een VPN-transparantierapport echt dekt

Open het rapport en lees het bereik vóór de cijfers. Welke periode, welke producten, welke juridische mechanismen en welke categorieën verzoeken staan allemaal ergens vooraan vermeld. Een kopcijfer zonder die kwalificaties is een marketingartefact met een bronvermelding. Vier stappen maken er weer bewijs van.

Het interessante deel van een transparantierapport zijn meestal de definities, niet de tabel.

Lees eerst de bereikregel

Controleer de periode, de gedekte producten en de juridische categorieën. Een rapport kan de consumentendienst dekken en niet het zakelijke product, of omgekeerd. Rechtsgebieden doen er ook toe, omdat een verzoek onder het ene juridische mechanisme niet hetzelfde is als onder het andere. Als het bereik onduidelijk is, kunnen de totalen niet met de totalen van een andere aanbieder worden vergeleken, en de grafiek in een blogpost die ze vergelijkt is decoratie.

De afwezigheid van gerapporteerde gebeurtenissen is geen bewijs van de afwezigheid van logging. Het zegt alleen dat er niets is gerapporteerd onder de genoemde categorieën, wat een veel smallere bewering is.

Eenheden zijn niet uitwisselbaar

Een verzoek, een account, een incident en een openbaar gemaakt record zijn vier verschillende eenheden. Een rapport kan verzoeken tellen terwijl het accounts openbaar maakt, of gebeurtenissen samenvoegen om privacyredenen. Het vergelijken van een cijfer per verzoek van de ene aanbieder met een cijfer per account van een andere levert een grafiek op die niets betekent. Houd de eenheid aan het cijfer vast, in je notities en in je conclusies.

Als de methodologie onduidelijk is, houd de onzekerheid dan vast in plaats van die met een aanname op te lossen. Een eerlijk "niet vergelijkbaar" is nuttiger dan een nette tabel op basis van een gok.

Wie publiceert er eigenlijk

Identificeer de organisatie die het document publiceert en de systemen die zij beheert. Een klantproject, een directoriesite en een onafhankelijk gehost eindpunt kunnen drie verschillende partijen zijn, en een rapport van de ene zegt niets over de andere. Infrastructuurpartners en vrijwillige servers vallen vaak volledig buiten het bereik. Dat is een feit over het ecosysteem, geen kritiek op het rapport.

Ook continuïteit is de moeite van het controleren waard. Een duidelijk archief, stabiele definities en uitleg over betekenisvolle wijzigingen maken lezen jaar na jaar mogelijk. Een enkele publicatie zonder geschiedenis is moeilijker te interpreteren dan een bescheiden publicatie met een verslag.

Zet het naast de audit, niet in plaats ervan

Een technische audit onderzoekt componenten en beheersmaatregelen, met een eigen bereikverklaring en eigen grenzen. Het is een momentopname van een periode, geen permanente eigenschap van de aanbieder. Hij kan je vertellen over de configuratie en processen van een systeem; hij kan je niet vertellen hoeveel verzoeken er binnenkwamen. Gebruik beide en lees van elk het bereik, in plaats van aan te nemen dat het andere het gat dekt. Een audit die de relevante infrastructuur uitsluit, antwoordt daar niets over.

De praktische vraag is of de aanbieder concrete antwoorden geeft op je werkelijke zorg. Als de zorg retentie is, zoek dan een retentieverklaring en het infrastructuurbewijs erachter; een tabel met het aantal verzoeken is dat niet.

Lees het bereik, de eenheden, de uitgever en de grenzen van de audit. Beslis dan of het document iets zegt over je vraag.