Ako čítať audítorskú správu o VPN: rozsah je dôležitejší než odznak

Odznaky sa lacno zobrazujú a draho vykladajú. Zverejnená audítorská správa je ohraničený kus inžinierskej práce: menovaný hodnotiteľ skúmal menované komponenty, pri menovanej verzii, so stanovenou metódou a časovým rozpočtom. Tieto štyri fakty určujú, čo môže záver podporiť, a zvyčajne sú na prvých stranách, nie v marketingovom zhrnutí. Ich prečítanie trvá desať minút a zabráni častej chybe rozšíriť zistenie o klientskej aplikácii na celú službu.

Čo sekcia o rozsahu vlastne ohraničuje

Vyhlásenie o rozsahu je plot a všetko za ním zostáva nezodpovedané, nie prejdené. Správy uvádzajú skúmané komponenty, rozsah commitov alebo identifikátor zostavenia, použité prostredie a povolený model interakcie. Desktopový klient, mobilná aplikácia, serverový kód, backend účtu a produkčná infraštruktúra sú päť rôznych predmetov a zákazka môže pokryť ktorúkoľvek ich podmnožinu.

Vylúčenia sú rovnako dôležité ako zahrnutia, pretože sa uvádzajú zámerne a čítajú sa nedbalo. Systém účtov opísaný ako mimo rozsahu sa nepovažuje za bezpečný a mobilná aplikácia vynechaná zo zákazky jednoducho nie je preskúmaná. Označte každý netestovaný komponent vo svojich poznámkach ako neznámy a odolajte pokušeniu vyplniť medzeru reputáciou.

Dva druhy testov odpovedajú na rôzne otázky

Revízia zdrojového kódu a testovanie za behu hľadajú rôzne poruchy. Recenzent čítajúci kód môže sledovať odvodenie kľúča, všimnúť si chýbajúcu kontrolu dĺžky a uvažovať o celom parseri bez toho, aby ho spustil. Tester proti bežiacej službe zistí, čo nasadené zostavenie skutočne robí: certifikát, ktorý aplikácia odmieta, záložný protokol stále povolený, koncový bod, ktorý uniká banner verzie cez konfiguráciu, ktorú nikto nepreskúmal.

Ani jedno nenahrádza druhé a správa zvyčajne uvádza, ktoré bolo vykonané. Keď zhrnutie povie „auditované“ bez tohto rozlíšenia, nejasnosť je v zhrnutí, nie v správe.

Obmedzenia prístupu robia to isté. Zákazka čiernej skrinky nevidí konfiguráciu servera a revízia architektúry, ktorá sa nikdy nedotkne nasadeného koncového bodu, nemôže zaznamenať, že produkcia sa líši od diagramu. Obe sú legitímne; zlievať ich výsledky nie.

Ako sa zistenie stane opravenou verziou

Cenná polovica správy je tabuľka nápravy: každé zistenie, jeho závažnosť podľa metódy hodnotiteľa, reakcia prevádzkovateľa a výsledok opakovaného testu. Čísla závažnosti pochádzajú zo zvolenej metodiky, nie z prírody, preto porovnávajte závažnosti v rámci jednej správy, nie medzi dvoma s rôznymi škálami.

Potom spojte opravu s vydaným softvérom. Opravené zistenie je pre používateľa dôležité len vtedy, keď je nainštalovaná verzia, ktorá opravu nesie, a preto treba čítať identifikátor zostavenia zo správy a changelog vydania spolu. Opakovaný test, ktorý opravu pokryl, uzatvára slučku; netestovaná oprava je tvrdenie. Rovnako oprava vydaná len vo vetve, ktorú žiadne stabilné vydanie nikdy nezlúčilo.

Čo vám odznak nemôže povedať

Neprítomnosť zistení nie je dôkazom neprítomnosti chýb. Krátka zákazka s pevným rozpočtom niečo prehliadne a čestné čítanie čistej správy je, že hodnotiteľ nenašiel triedy problémov, ktoré hľadal, v dostupnom čase.

Odznak tiež nemôže hovoriť za vlastnosti mimo svojho rozsahu. Tvrdenia o praxi logovania, jurisdikcii alebo uchovávaní žijú v dokumente zásad, nie v audite klientskej aplikácie, a žiadna reputácia hodnotiteľa neprekračuje tú hranicu.

Zaznamenávanie dôkazov, ktoré obhájite

Napíšte citáciu v troch častiach: komponent, verzia a overená oprava. Zverejnená zákazka, ako je audit VPN zadaný Mozillou podporuje presne tvrdenia, ktoré jej rozsah opisuje, a nič širšie, čo pri presnej citácii stále stojí za veľa. Tá istá správa citovaná za niečo, čo nikdy neskúmala, má menšiu cenu než žiadna citácia, pretože pozýva k dôvere, ktorú si nikto nezaslúžil.

Keď tvrdená vlastnosť spadá mimo všetky dostupné správy, ponechajte ju v dokumente nevyriešenú. Nevyriešený riadok pozýva k doplňujúcej otázke; odznak nie. Jedinou výnimkou je vlastnosť, ktorú rieši iný, rovnako konkrétny dokument, a vtedy sa mení citácia, nie tvrdenie.

Dva ďalšie návyky robia čítanie trvalým: poznamenajte dátum správy voči vydaniu, ktoré skutočne používate, a udržujte rozdiel medzi tým, čo bolo testované, a tým, čo ste nasadili. Oboje mení rozhodnutie o dôvere na niečo, čo kolega môže overiť.