Що насправді охоплює звіт про прозорість VPN

Відкрийте звіт і прочитайте обсяг до цифр. Який період, які продукти, які правові механізми та які категорії запитів — усе це зазначено десь ближче до початку. Підсумкова цифра в заголовку без цих застережень — маркетинговий артефакт із посиланням. Чотири кроки знову перетворюють її на доказ.

Цікава частина звіту про прозорість — зазвичай визначення, а не таблиця.

Спершу прочитайте рядок про обсяг

Перевірте період, охоплені продукти й правові категорії. Звіт може охоплювати споживчий сервіс і не охоплювати бізнес-продукт, або навпаки. Юрисдикції теж важливі, бо запит за одним правовим механізмом — не те саме, що за іншим. Якщо обсяг неоднозначний, підсумки не можна порівнювати з підсумками будь-якого іншого оператора, а діаграма в дописі блогу, яка їх порівнює, — просто прикраса.

Відсутність повідомлень про події не є доказом відсутності журналювання. Вона лише каже, що за зазначеними категоріями нічого не повідомлялося, а це значно вужче твердження.

Одиниці не взаємозамінні

Запит, обліковий запис, інцидент і розкритий запис — це чотири різні одиниці. Звіт може рахувати запити, розкриваючи облікові записи, або об’єднувати події з міркувань приватності. Порівняння цифри на запит в одного оператора з цифрою на обліковий запис в іншого дає діаграму, що нічого не означає. Тримайте одиницю прив’язаною до числа — у нотатках і у висновках.

Якщо методологія неясна, зберігайте невизначеність, а не розв’язуйте її припущенням. Чесне «непорівнянно» корисніше за охайну таблицю, побудовану на здогаді.

Хто насправді публікує

Визначте організацію, яка публікує документ, і системи, якими вона керує. Клієнтський проєкт, сайт-каталог і незалежно розміщена кінцева точка можуть бути трьома різними сторонами, і звіт однієї нічого не говорить про інших. Інфраструктурні партнери та волонтерські сервери часто повністю поза межами. Це факт про екосистему, а не критика звіту.

Варто перевірити й наступність. Зрозумілий архів, стабільні визначення та пояснення значущих змін — саме вони роблять читання рік за роком можливим. Поодинока публікація без історії важче піддається інтерпретації, ніж скромна, але з історією.

Поставте його поруч з аудитом, а не замість нього

Технічний аудит досліджує компоненти й засоби контролю, має власну заяву про обсяг і власні межі. Це знімок періоду, а не постійна властивість оператора. Він може розповісти про конфігурацію та процеси системи; він не може сказати, скільки запитів надійшло. Використовуйте обидва й читайте обсяг кожного, а не припускайте, що інший закриває прогалину. Аудит, який виключає відповідну інфраструктуру, нічого про неї не відповідає.

Практичне питання — чи дає оператор конкретні відповіді на ваше реальне занепокоєння. Якщо йдеться про зберігання, шукайте заяву про зберігання та інфраструктурні докази за нею; таблиця кількості запитів — це не воно.

Прочитайте обсяг, одиниці, видавця та межі аудиту. Потім вирішіть, чи говорить документ щось про ваше питання.