Vad en VPN-transparensrapport faktiskt täcker

Öppna rapporten och läs omfattningen före siffrorna. Vilken period, vilka produkter, vilka rättsliga mekanismer och vilka kategorier av förfrågningar anges alla någonstans nära början. En rubriksiffra utan dessa förbehåll är en marknadsföringsartefakt med en källhänvisning. Fyra steg gör den åter till bevis.

Den intressanta delen av en transparensrapport är oftast definitionerna, inte tabellen.

Läs omfattningsraden först

Kontrollera perioden, de täckta produkterna och de rättsliga kategorierna. En rapport kan täcka konsumenttjänsten och inte företagsprodukten, eller tvärtom. Jurisdiktioner spelar också roll, eftersom en förfrågan enligt en rättslig mekanism inte är detsamma som enligt en annan. Om omfattningen är otydlig kan totalerna inte jämföras med någon annan operatörs totaler, och diagrammet i ett blogginlägg som jämför dem är dekoration.

Frånvaron av rapporterade händelser är inte bevis för frånvaron av loggning. Den säger bara att ingenting rapporterades under de angivna kategorierna, vilket är ett mycket snävare påstående.

Enheter är inte utbytbara

En förfrågan, ett konto, en incident och en offentliggjord post är fyra olika enheter. En rapport kan räkna förfrågningar medan den offentliggör konton, eller slå samman händelser av integritetsskäl. Att jämföra en siffra per förfrågan från en operatör med en siffra per konto från en annan ger ett diagram som inte betyder något. Håll enheten knuten till siffran, i dina anteckningar och i dina slutsatser.

Om metoden är otydlig, behåll osäkerheten i stället för att lösa den med ett antagande. Ett ärligt "inte jämförbart" är mer användbart än en prydlig tabell byggd på en gissning.

Vem som faktiskt publicerar

Identifiera organisationen som publicerar dokumentet och de system den driver. Ett kundprojekt, en katalogsajt och en självständigt hostad slutpunkt kan vara tre olika parter, och en rapport från en säger ingenting om de andra. Infrastrukturpartner och frivilliga servrar ligger ofta helt utanför omfattningen. Det är ett faktum om ekosystemet, inte en kritik av rapporten.

Kontinuitet är också värt att kontrollera. Ett tydligt arkiv, stabila definitioner och förklaringar av betydelsefulla ändringar är det som gör läsning år efter år möjlig. En enstaka publikation utan historik är svårare att tolka än en blygsam med ett register.

Sätt den bredvid revisionen, inte i stället för den

En teknisk revision granskar komponenter och kontroller, med sitt eget omfattningsuttalande och sina egna gränser. Det är en ögonblicksbild av en period, inte en permanent egenskap hos operatören. Den kan berätta om ett systems konfiguration och processer; den kan inte berätta hur många förfrågningar som kom in. Använd båda och läs omfattningen för var och en, i stället för att anta att den andra täcker luckan. En revision som utesluter den relevanta infrastrukturen svarar ingenting om den.

Den praktiska frågan är om operatören ger konkreta svar på din faktiska oro. Om oron gäller lagring, leta efter en lagringsförklaring och infrastrukturbeviset bakom den; en tabell med antal förfrågningar är inte det.

Läs omfattningen, enheterna, utgivaren och revisionens gränser. Bestäm sedan om dokumentet säger något om din fråga.