Article explicatif
« Audité de manière indépendante » peut désigner des travaux très différents. Cette page présente les types d'audit, ce que chacun peut montrer et les questions à poser avant qu'un audit ne change votre opinion sur un fournisseur.
Un audit montre qu'une partie nommément désignée a examiné un ensemble défini de systèmes à un moment donné et a rendu compte de ses constatations. C'est utile, mais bien plus limité que ne le laisse entendre l'expression « audité de manière indépendante » sur une page d'accueil.
Avant qu'un audit ne change votre opinion sur un fournisseur, vous devez savoir de quel type d'audit il s'agissait, ce qu'il couvrait, quand il a eu lieu et si vous pouvez lire le rapport.
| Type | Ce qu'il peut montrer | Ce qu'il ne peut pas montrer |
|---|---|---|
| Évaluation sans journaux | Les systèmes concernés n'étaient pas configurés pour conserver les données en question pendant l'évaluation | Ce qui se passe en dehors de cette période ou sur ces systèmes |
| Audit du client ou du code | Les failles de sécurité de l'application ou du code examiné | La manière dont les serveurs sont exploités, ni ce que l'entreprise conserve |
| Audit de l'infrastructure | La configuration des serveurs et des systèmes examinés | Si les serveurs non examinés leur correspondent |
| Test d'intrusion | Ce que les testeurs ont pu compromettre dans les limites convenues | Que rien d'autre n'aurait pu être compromis, ni quoi que ce soit sur la journalisation |
| Certification | Les processus d'une entreprise respectent une norme désignée dans un périmètre défini | Quoi que ce soit sur votre trafic, sauf si le périmètre l'inclut |
Une affirmation peut être vraie tout en répondant à une question différente de la vôtre. Une évaluation irréprochable d'une application ne dit rien sur la capacité d'une entreprise à relier une session à une personne.
Un audit rend compte d'une période qui est terminée. La configuration peut changer le lendemain du départ des auditeurs, sans que rien dans le rapport ne le montre.
Il dépend aussi de ce que l'entreprise montre. Les auditeurs peuvent inspecter les systèmes et interroger le personnel, mais leurs moyens de découvrir quelque chose conçu pour leur rester caché sont limités. Le fournisseur paie aussi normalement les travaux et en convient le périmètre. Rien de tout cela ne rend les audits inutiles, mais cela en fait un type de preuve parmi d'autres.
D'autres preuves peuvent venir d'événements que le fournisseur n'a pas organisés, comme la saisie d'un serveur ou une ordonnance judiciaire qui n'a rien produit. Ces événements sont rares et décrivent eux aussi un seul moment.
Le registre traite un audit comme une preuve dotée de plusieurs propriétés : qui l'a réalisé, selon quelle norme, quelle part en a été publiée et quel âge elle a. Les questions et la méthodologie expliquent le poids accordé à chacune de ces propriétés et la manière dont ce poids diminue avec le temps.
Une fiche cite l'audit à l'origine de chaque valeur et en donne la date, afin que vous puissiez ouvrir vous-même la source. Pour les nombreux fournisseurs qui n'ont rien à citer, la fiche le précise également, et le score en tient compte.
Il montre ce que les auditeurs ont constaté sur les systèmes concernés pendant la période examinée. Il ne peut pas montrer ce qui s'est passé avant ou depuis, ni sur les systèmes qu'ils n'ont pas examinés. C'est une bonne preuve, mais elle ne suffit toujours pas à établir un fait.
Généralement, le fournisseur. Cela ne rend pas les travaux inutiles, car un cabinet d'audit joue sa propre réputation, mais le fournisseur choisit le cabinet, convient du périmètre et décide souvent de la part du rapport que vous pouvez voir.
Pas nécessairement. L'absence d'audit signifie que personne d'indépendant n'a vérifié, et que vous vous fiez donc à la parole du fournisseur. Le risque peut être faible ou élevé, et sans preuve, vous ne pouvez pas savoir lequel.
Ensuite
Chaque article explicatif se termine en nommant les pages qui possèdent ce qu'il n'a fait qu'effleurer.
Le Wi-Fi public est moins dangereux que ne le prétend la publicité, car HTTPS protège déjà la plupart de ce que vous envoyez. Un VPN masque néanmoins les sites que vous consultez, et certains risques réels restent sans réponse.
Une fuite DNS se produit lorsque votre VPN achemine votre trafic, mais que les recherches de noms le contournent, révélant à votre réseau les sites que vous consultez. Cette page explique pourquoi cela se produit et comment le vérifier.
Un kill switch interrompt votre trafic lorsque le tunnel VPN tombe, afin qu'il ne continue pas sans protection à votre insu. Les kill switch ne couvrent pas tous les mêmes éléments, et ces différences déterminent les situations où ils sont réellement utiles.
Les deux envoient une requête depuis une autre adresse. Un VPN a normalementchemine tout le trafic de votre appareil et le chiffre ; un proxy ne gère généralement qu'une seule application et peut ne rien chiffrer du tout. Voici comment déterminer lequel vous utilisez.
Beaucoup de gens n'en ont pas besoin. Un VPN résout bien quelques problèmes précis et ne fait rien pour le reste : la réponse dépend donc du problème que vous rencontrez. Cette page passe en revue les plus courants.
Un VPN vous demande de faire confiance à une seule entreprise. Tor répartit votre connexion entre trois relais, afin qu'aucun ne voie à la fois qui vous êtes et où vous allez. Ils répondent à des problèmes différents, et aucun ne remplace l'autre.
Ce qui arrive à un paquet entre votre appareil et un site web lorsqu'un VPN est activé : la négociation, le tunnel, la résolution de nom et la sortie. Chaque étape explique aussi une façon dont un VPN peut échouer.
Dans la plupart des pays, l'utilisation d'un VPN est légale. Une courte liste de pays les restreignent, les soumettent à une licence ou les bloquent, et ce que vous faites par leur intermédiaire est partout une question distincte. Cette page en dresse la carte, mais ne constitue pas un conseil juridique.
Faire fonctionner un VPN coûte de l'argent chaque mois : un VPN gratuit est donc financé d'une manière ou d'une autre. Cette page explique généralement comment, ce qui s'est mal passé en pratique et comment distinguer un échantillon d'un modèle économique.
Un VPN protège une portion du trajet : votre appareil jusqu'à son serveur. Cette page couvre tout ce qui se trouve en dehors de cette portion, de votre navigateur et de vos comptes aux logiciels malveillants, à l'interruption du tunnel et aux affirmations publicitaires.
Un saut chiffré entre votre appareil et Internet. Cette page ouvre la section : ce que fait ce saut, à qui il vous dissimule, à qui il confie la visibilité à la place, et lesquelles des promesses faites à son sujet résistent au fonctionnement réel du mécanisme.
Pas un article explicatif mais le modèle lui-même, pour un lecteur arrivé au bout de cette page et qui veut savoir comment le jugement est rendu.
Ce que le registre sait de ce marché dans son ensemble, et ce qu'il ne sait pas — chaque chiffre vient de l'index, aucun d'un sondage.