Explicativo
"Auditado de forma independente" pode descrever trabalhos muito diferentes. Esta página aborda os tipos de auditoria, o que cada um pode demonstrar e que perguntas fazer antes de uma auditoria mudar a sua opinião sobre um fornecedor.
Uma auditoria mostra que uma entidade identificada examinou um conjunto definido de sistemas num determinado momento e comunicou o que encontrou. Isso é útil, mas é muito mais limitado do que a expressão "auditado de forma independente" sugere numa página inicial.
Antes de uma auditoria mudar a sua opinião sobre um fornecedor, precisa de saber de que tipo era, o que abrangia, quando foi realizada e se pode ler o relatório.
| Tipo | O que pode demonstrar | O que não pode demonstrar |
|---|---|---|
| Avaliação de não retenção de registos | Os sistemas abrangidos não estavam configurados para manter os registos em questão durante a análise | O que acontece fora desse período ou nesses sistemas |
| Auditoria do cliente ou do código | Falhas de segurança na aplicação ou no código analisado | Como os servidores são geridos ou o que a empresa armazena |
| Auditoria da infraestrutura | Como estão configurados os servidores e sistemas examinados | Se os servidores não examinados correspondem a esses |
| Teste de penetração | Aquilo a que os testadores conseguiram aceder dentro dos limites acordados | Que nada mais poderia ser comprometido, nem qualquer coisa sobre o registo de atividade |
| Certificação | Os processos de uma empresa cumprem uma norma identificada dentro de um limite definido | Qualquer coisa sobre o seu tráfego, salvo se o limite o incluir |
Uma alegação pode ser verdadeira e, ainda assim, responder a uma pergunta diferente da sua. Uma análise sem falhas de uma aplicação não diz nada sobre a possibilidade de uma empresa associar uma sessão a uma pessoa.
Uma auditoria relata um período que já terminou. A configuração pode mudar no dia seguinte à saída dos auditores, sem que nada no relatório o revele.
Também depende daquilo que a empresa mostra. Os auditores podem inspecionar sistemas e questionar funcionários, mas têm meios limitados para descobrir algo concebido para lhes permanecer oculto. O fornecedor também paga normalmente pelo trabalho e acorda os seus limites. Nada disto torna as auditorias inúteis, mas faz delas um tipo de prova entre outros.
Outras provas podem resultar de acontecimentos que o fornecedor não organizou, como um servidor apreendido ou uma ordem judicial que não produziu nada. Estes casos são raros e também descrevem apenas um momento.
O registo trata uma auditoria como prova com determinadas propriedades: quem a realizou, segundo que norma, quanto foi publicado e quão antiga é. As perguntas e a metodologia explicam quanto conta cada uma dessas propriedades e como esse peso diminui ao longo do tempo.
Uma ficha cita a auditoria subjacente a cada valor e indica a sua data, para que possa abrir a fonte por si próprio. Para os muitos fornecedores sem nada que citar, a ficha também o indica, e a pontuação reflete isso.
Mostra o que os auditores encontraram nos sistemas abrangidos durante o período que analisaram. Não pode mostrar o que aconteceu antes ou depois, nem em sistemas que não examinaram. É uma boa prova, mas ainda fica aquém de uma prova conclusiva.
Normalmente, o fornecedor. Isso não torna o trabalho inútil, já que uma empresa de auditoria também tem a sua reputação em jogo, mas o fornecedor escolhe a empresa, acorda o âmbito e decide muitas vezes quanto do relatório pode consultar.
Não necessariamente. A ausência de uma auditoria significa que ninguém independente verificou a situação, pelo que depende da palavra do fornecedor. O risco pode ser baixo ou elevado e, sem provas, não é possível saber qual dos dois é.
A seguir
Cada explicativo termina nomeando as páginas a que pertence aquilo que apenas tocou.
O Wi-Fi público é menos perigoso do que a publicidade dá a entender, porque o HTTPS já protege a maior parte do que envia. Uma VPN continua a ocultar os sites que visita, e há alguns riscos reais que ela não resolve.
Uma fuga de DNS ocorre quando a VPN transporta o seu tráfego, mas as consultas de nomes passam ao lado dela, revelando à sua rede os sites que visita. Esta página explica por que acontece e como verificá-la.
Um interruptor de emergência interrompe o seu tráfego quando o túnel VPN cai, para que este não continue desprotegido sem que se aperceba. Os interruptores de emergência diferem naquilo que abrangem, e essas diferenças determinam quando é que um ajuda realmente.
Ambos fazem um pedido a partir de outro endereço. Uma VPN normalmente encaminha todo o tráfego do seu dispositivo e cifra-o; um proxy geralmente trata de uma só aplicação e pode não cifrar nada. Veja como distinguir qual dos dois está a usar.
Muitas pessoas não precisam. Uma VPN resolve bem alguns problemas específicos e não faz nada pelos restantes, por isso a resposta depende do problema que tem. Esta página aborda os mais comuns.
Uma VPN pede-lhe que confie numa empresa. O Tor divide a sua ligação por três relés, para que nenhum veja, ao mesmo tempo, quem é e para onde vai. Resolvem problemas diferentes, e nenhum substitui o outro.
O que acontece a um pacote entre o seu dispositivo e um site quando uma VPN está ativa: a negociação inicial, o túnel, a resolução do nome e a saída. Cada etapa também explica uma forma de uma VPN poder falhar.
Na maior parte do mundo, utilizar uma VPN é legal. Um pequeno número de países restringe-as, exige uma licença ou bloqueia-as, e aquilo que faz através de uma é uma questão separada em todo o lado. Esta página é um mapa disso, não aconselhamento jurídico.
Manter uma VPN custa dinheiro todos os meses, por isso uma VPN gratuita é paga por alguma coisa. Esta página explica o que costuma ser essa coisa, o que correu mal na prática e como distinguir uma amostra de um modelo de negócio.
Uma VPN protege um trecho do percurso: do seu dispositivo ao servidor. Esta página aborda tudo o que fica fora desse trecho, desde o navegador e as suas contas até ao malware, a interrupção do túnel e as alegações da publicidade.
Um salto encriptado entre o seu dispositivo e a internet. Esta página é o ponto de partida da secção: o que faz o salto, de quem o esconde, a quem entrega a visão em alternativa e quais das promessas feitas sobre ele resistem ao contacto com o mecanismo.
Não é um explicativo, mas o próprio modelo, para quem chegou ao fim desta página e quer saber como o julgamento é feito.
O que o registo sabe sobre este mercado como um todo, e o que não sabe — cada número vem do índice, nenhum de um inquérito.