Explicativo
«Auditado de forma independiente» puede describir trabajos muy distintos. Esta página explica los tipos de auditoría, qué puede demostrar cada uno y qué preguntas conviene hacer antes de que una auditoría cambie tu opinión sobre un proveedor.
Una auditoría demuestra que una parte identificada examinó un conjunto definido de sistemas en un momento concreto e informó de lo que encontró. Es útil, pero su alcance es mucho más limitado de lo que sugiere la expresión «auditado de forma independiente» en una página principal.
Antes de que una auditoría cambie tu opinión sobre un proveedor, necesitas saber de qué tipo era, qué cubría, cuándo se realizó y si puedes leer el informe.
| Tipo | Qué puede demostrar | Qué no puede demostrar |
|---|---|---|
| Evaluación de ausencia de registros | Los sistemas incluidos en el alcance no estaban configurados para conservar los registros en cuestión durante la revisión | Qué ocurre fuera de ese periodo o en esos sistemas |
| Auditoría del cliente o del código | Fallos de seguridad en la aplicación o el código revisado | Cómo se gestionan los servidores o qué almacena la empresa |
| Auditoría de infraestructura | Cómo están configurados los servidores y sistemas examinados | Si los servidores no examinados coinciden con ellos |
| Prueba de penetración | A qué pudieron acceder los evaluadores dentro de los límites acordados | Que no se pudiera vulnerar nada más, ni nada sobre los registros |
| Certificación | Que los procesos de una empresa cumplen una norma determinada dentro de un límite establecido | Nada sobre tu tráfico, salvo que el límite lo incluya |
Una afirmación puede ser cierta y aun así responder a una pregunta distinta de la tuya. Una revisión sin problemas de una aplicación no dice nada sobre si una empresa puede vincular una sesión con una persona.
Una auditoría informa sobre un periodo que ya ha terminado. La configuración puede cambiar al día siguiente de que los auditores se marchen, y nada del informe lo mostraría.
También depende de lo que la empresa muestre. Los auditores pueden inspeccionar sistemas y preguntar al personal, pero tienen medios limitados para encontrar algo diseñado para permanecer oculto. Además, normalmente el proveedor paga el trabajo y acuerda sus límites. Nada de esto hace que las auditorías carezcan de valor, pero sí hace que sean un tipo de evidencia entre otros.
Otras evidencias pueden proceder de acontecimientos que el proveedor no organizó, como la incautación de un servidor o una orden judicial que no produjo nada. Son poco frecuentes y también describen un único momento.
El registro trata una auditoría como evidencia con varias propiedades: quién la realizó, según qué norma, cuánto se publicó y qué antigüedad tiene. Las preguntas y la metodología explican cuánto cuenta cada una de ellas y cómo ese peso disminuye con el tiempo.
Una ficha cita la auditoría que respalda cada valor e indica su fecha, para que puedas abrir la fuente por tu cuenta. Para los muchos proveedores que no tienen nada que citar, la ficha también lo indica, y la puntuación lo refleja.
Demuestra lo que los auditores encontraron en los sistemas incluidos en el alcance durante el periodo que examinaron. No puede demostrar qué ocurrió antes o después, ni en sistemas que no examinaron. Es una buena evidencia, pero aun así no llega a ser una prueba.
Normalmente, el proveedor. Eso no hace que el trabajo carezca de valor, porque la empresa auditora también se juega su propia reputación, pero el proveedor elige la empresa, acuerda el alcance y a menudo decide cuánto del informe puedes ver.
No necesariamente. La ausencia de una auditoría significa que nadie independiente ha comprobado el proveedor, así que dependes de su palabra. El riesgo puede ser bajo o alto y, sin evidencia, no puedes saber cuál de los dos es.
A continuación
Todo explicativo termina nombrando las páginas propietarias de lo que aquí solo se rozó.
Las redes wifi públicas son menos peligrosas de lo que dice la publicidad, porque HTTPS ya protege la mayor parte de lo que envías. Una VPN sigue ocultando qué sitios visitas, y quedan algunos riesgos reales que no puede evitar.
Una fuga de DNS ocurre cuando tu VPN transporta tu tráfico, pero las búsquedas de nombres la evitan y muestran a tu red los sitios que visitas. Esta página explica por qué ocurre y cómo comprobarlo.
Un interruptor de emergencia detiene tu tráfico cuando se cae el túnel VPN, para que no siga circulando sin protección sin que lo notes. Los interruptores de emergencia no cubren todos lo mismo, y esas diferencias determinan cuándo resultan realmente útiles.
Ambos realizan una solicitud desde otra dirección. Una VPN normalmente transporta y cifra todo el tráfico de tu dispositivo; un proxy suele gestionar una sola aplicación y puede no cifrar nada. Así puedes saber cuál tienes.
Muchas personas no. Una VPN resuelve bien algunos problemas concretos y no hace nada por el resto, así que la respuesta depende del problema que tengas. Esta página repasa los más habituales.
Una VPN te pide que confíes en una empresa. Tor divide tu conexión entre tres relés para que ninguno por sí solo vea quién eres y adónde vas. Resuelven problemas distintos y ninguna sustituye a la otra.
Qué le ocurre a un paquete entre tu dispositivo y un sitio web cuando una VPN está activa: el establecimiento de conexión, el túnel, la resolución de nombres y la salida. Cada paso también explica una forma en que una VPN puede fallar.
En la mayor parte del mundo, usar una VPN es legal. Una lista breve de países las restringe, autoriza o bloquea, y lo que haces a través de una es una cuestión aparte en todas partes. Esta página es un mapa de todo ello, no asesoramiento jurídico.
Mantener una VPN cuesta dinero cada mes, así que una gratuita se paga de alguna manera. Esta página explica cuál suele ser esa manera, qué ha salido mal en la práctica y cómo distinguir una muestra de un modelo de negocio.
Una VPN protege un tramo del recorrido: de tu dispositivo a su servidor. Esta página cubre todo lo que queda fuera de ese tramo, desde tu navegador y tus cuentas hasta el malware, un túnel interrumpido y las afirmaciones de la publicidad.
Un salto cifrado entre tu dispositivo e internet. Esta página es el punto de partida de la sección: qué hace el salto, de quién te oculta, a quién entrega la visibilidad en su lugar y cuáles de las promesas que se hacen sobre él resisten el contacto con el mecanismo.
No es un explicativo, sino el propio modelo, para un lector que llegó al final de esta página y quiere saber cómo se hace el juicio.
Lo que el registro sabe sobre este mercado en conjunto, y lo que no — todas las cifras proceden del índice, ninguna de una encuesta.