Approfondimento
«Sottoposto a audit indipendente» può descrivere attività molto diverse. Questa pagina illustra i tipi di audit, cosa può dimostrare ciascuno e quali domande porsi prima che un audit cambi idea su un fornitore.
Un audit dimostra che una parte identificata ha esaminato un insieme definito di sistemi in un determinato momento e ha riferito ciò che ha rilevato. È utile, ma ha una portata molto più ristretta di quanto suggerisca la frase «sottoposto a audit indipendente» su una pagina principale.
Prima che un audit cambi la tua opinione su un fornitore, devi sapere di che tipo era, cosa copriva, quando si è svolto e se puoi leggere il rapporto.
| Tipo | Cosa può dimostrare | Cosa non può dimostrare |
|---|---|---|
| Valutazione no-log | I sistemi inclusi nell'ambito non erano configurati per conservare le registrazioni pertinenti durante l'audit | Cosa accade al di fuori di quel periodo o su quei sistemi |
| Audit del client o del codice | Le vulnerabilità di sicurezza dell'app o del codice esaminato | Come vengono gestiti i server o cosa conserva l'azienda |
| Audit dell'infrastruttura | Come sono configurati i server e i sistemi esaminati | Se i server non esaminati corrispondono a quelli esaminati |
| Test di penetrazione | Cosa i tester sono riusciti a compromettere entro i limiti concordati | Che non fosse possibile compromettere altro o qualcosa riguardo alla registrazione dei dati |
| Certificazione | I processi di un'azienda rispettano uno standard indicato entro un perimetro dichiarato | Nulla sul tuo traffico, a meno che il perimetro non lo includa |
Un'affermazione può essere vera e tuttavia rispondere a una domanda diversa dalla tua. Un audit dell'app senza rilievi non dice nulla sulla possibilità che un'azienda colleghi una sessione a una persona.
Un audit riferisce su un periodo che si è concluso. La configurazione può cambiare il giorno dopo la partenza degli auditor, e nulla nel rapporto lo mostrerebbe.
Inoltre, si basa su ciò che l'azienda mostra. Gli auditor possono ispezionare i sistemi e interrogare il personale, ma hanno mezzi limitati per scoprire qualcosa progettato per restare loro nascosto. Anche il fornitore normalmente paga il lavoro e ne concorda i limiti. Nulla di tutto questo rende gli audit privi di valore, ma li rende un tipo di prova tra gli altri.
Altre prove possono derivare da eventi che il fornitore non ha organizzato, come il sequestro di un server o un'ordinanza del tribunale che non ha prodotto nulla. Sono eventi rari e descrivono anch'essi un singolo momento.
Il registro tratta un audit come una prova con determinate proprietà: chi lo ha svolto, secondo quale standard, quale parte è stata pubblicata e quanto è vecchia. Le domande e la metodologia spiegano quanto conta ciascuno di questi elementi e come questo peso diminuisce nel tempo.
Una scheda cita l'audit alla base di ogni valore e ne indica la data, così puoi aprire tu stesso la fonte. Per i numerosi fornitori senza nulla da citare, anche questo è indicato nella scheda, e il punteggio ne tiene conto.
Mostra ciò che gli auditor hanno rilevato sui sistemi inclusi nell'ambito durante il periodo esaminato. Non può mostrare cosa è accaduto prima o dopo, né sui sistemi che non hanno esaminato. È una buona prova, ma non arriva a costituire una dimostrazione.
Di solito il fornitore. Questo non rende il lavoro privo di valore, perché anche un'azienda di audit ha la propria reputazione da difendere, ma il fornitore sceglie l'azienda, concorda l'ambito e spesso decide quanto del rapporto puoi vedere.
Non necessariamente. L'assenza di un audit significa che nessuno indipendente ha effettuato una verifica, quindi devi fare affidamento sulla parola del fornitore. Il rischio può essere basso o alto e, senza prove, non puoi sapere quale dei due sia.
Avanti
Ogni approfondimento termina nominando le pagine a cui appartiene ciò che qui ha solo sfiorato.
Il Wi-Fi pubblico è meno pericoloso di quanto suggerisca la pubblicità, perché HTTPS protegge già gran parte di ciò che invii. Una VPN nasconde comunque i siti che raggiungi, mentre alcuni rischi reali restano fuori dalla sua protezione.
Una perdita DNS si verifica quando la VPN trasporta il traffico, ma le richieste di risoluzione dei nomi la aggirano, mostrando alla rete i siti visitati. Questa pagina spiega perché accade e come verificarlo.
Un kill switch interrompe il traffico quando il tunnel VPN cade, così non può continuare senza protezione a tua insaputa. I kill switch differiscono per ciò che coprono, e sono proprio queste differenze a stabilire quando sono davvero utili.
Entrambi fanno una richiesta da un altro indirizzo. Una VPN normalmente trasporta tutto il traffico del dispositivo e lo cifra; un proxy di solito gestisce una sola app e potrebbe non cifrare nulla. Ecco come capire quale dei due stai usando.
A molti non serve. Una VPN risolve bene alcuni problemi specifici e non fa nulla per gli altri, quindi la risposta dipende dal problema che avete. Questa pagina passa in rassegna quelli più comuni.
Una VPN ti chiede di fidarti di una sola azienda. Tor suddivide la connessione tra tre relè, così nessuno di essi vede sia chi sei sia dove stai andando. Risolvono problemi diversi e nessuno dei due sostituisce l'altro.
Cosa succede a un pacchetto tra il tuo dispositivo e un sito web quando una VPN è attiva: l'handshake, il tunnel, la risoluzione del nome e l'uscita. Ogni passaggio spiega anche un modo in cui una VPN può non funzionare.
Nella maggior parte del mondo usare una VPN è legale. Un breve elenco di Paesi le sottopone a restrizioni, licenze o blocchi, e ciò che si fa attraverso una VPN è ovunque una questione distinta. Questa pagina ne offre una mappa, non consulenza legale.
Gestire una VPN costa denaro ogni mese, quindi una VPN gratuita viene pagata in qualche modo. Questa pagina spiega quale sia di solito, cosa è andato storto nella pratica e come distinguere un campione da un modello di business.
Una VPN protegge un tratto del percorso: dal tuo dispositivo al suo server. Questa pagina tratta tutto ciò che resta fuori da quel tratto, dal browser e dai tuoi account al malware, a un tunnel interrotto e alle dichiarazioni pubblicitarie.
Un solo salto cifrato tra il tuo dispositivo e internet. Questa pagina è il punto di partenza della sezione: cosa fa il salto, da chi ti nasconde, a chi consegna invece la visibilità e quali promesse fatte su di esso resistono al confronto con il meccanismo.
Non un approfondimento ma il modello stesso, per chi è arrivato alla fine di questa pagina e vuole sapere come viene formulato il giudizio.
Cosa sa il registro su questo mercato nel suo complesso, e cosa non sa — ogni cifra viene dall'indice, nessuna da un sondaggio.