Bir VPN denetimi neyi kanıtlar, neyi kanıtlamaz

Kısa yanıt

Bir denetim, adı belirtilen bir tarafın belirli bir zamanda tanımlanmış bir sistem kümesini incelediğini ve bulgularını raporladığını gösterir. Bu yararlıdır; ancak ana sayfada görülen “bağımsız olarak denetlenmiş” ifadesinin düşündürdüğünden çok daha dar kapsamlıdır.

Bir denetimin sağlayıcı hakkındaki görüşünüzü değiştirmesinden önce bunun ne tür bir denetim olduğunu, neleri kapsadığını, ne zaman yapıldığını ve raporu okuyup okuyamayacağınızı bilmeniz gerekir.

Farklı denetimler farklı soruları yanıtlar

Bir iddia doğru olabilir ve yine de sizin sorunuzdan farklı bir soruyu yanıtlayabilir. Bir uygulamanın temiz bir incelemeden geçmiş olması, bir şirketin bir oturumu bir kişiyle ilişkilendirip ilişkilendiremeyeceği hakkında hiçbir şey söylemez.

Sorulması gereken beş soru

1. Kim yaptı? Kaybedecek bir itibarı olan ve adı belirtilmiş bir firma, adı belirtilmeyen bir “üçüncü taraf”tan daha fazla ağırlık taşır.
2. Standart neydi? Belirtilmiş bir standart ve yöntem karşılaştırılabilir. Genel bir onay ifadesi karşılaştırılamaz.
3. Kapsamda neler vardı? Tüm sunucu filosu, bir örneklemden farklı bir iddiadır; ürünler veya sunucu türleri bazen kapsam dışında bırakılır.
4. Raporu okuyabilir misiniz? Herkese açık tam bir rapor, giriş yapılmasını gerektiren bir rapor ve basın açıklaması, kanıt açısından üç farklı düzeydir.
5. Ne zaman yapıldı? Sistemler ve sahipler değişir. Eski bir denetim şirketin önceki hâlini anlatır; bir denetim dizisi ise tek bir denetimden daha fazlasını gösterir.

Her denetimin sona erdiği yer

Bir denetim, sona ermiş bir dönemi raporlar. Denetçiler ayrıldıktan sonraki gün yapılandırma değişebilir ve rapordaki hiçbir şey bunu göstermez.

Denetim ayrıca şirketin gösterdiklerine dayanır. Denetçiler sistemleri inceleyebilir ve çalışanlara soru sorabilir; ancak kendilerinden gizli tutulmak üzere tasarlanmış bir şeyi bulma imkânları sınırlıdır. Sağlayıcı da genellikle çalışmanın ücretini öder ve sınırlarını kabul eder. Bunların hiçbiri denetimleri değersiz kılmaz; ancak denetimleri diğerleri arasındaki bir kanıt türü hâline getirir.

Diğer kanıtlar, sağlayıcının düzenlemediği olaylardan gelebilir; örneğin el konulan bir sunucu veya hiçbir şey ortaya çıkarmayan bir mahkeme kararı. Bunlar nadirdir ve onlar da tek bir anı anlatır.

Sicil bir denetimi nasıl okur?

Sicil, bir denetimi şu özelliklere sahip bir kanıt olarak ele alır: kimin yaptığı, hangi standarda göre yapıldığı, ne kadarının yayımlandığı ve ne kadar eski olduğu. Sorular ve metodoloji, bu unsurların her birinin ne kadar ağırlık taşıdığını ve bu ağırlığın zamanla nasıl azaldığını açıklar.

Bir kayıt, her değerin arkasındaki denetime kaynak gösterir ve tarihini verir; böylece kaynağı kendiniz açabilirsiniz. Kaynak gösterilecek hiçbir şeyi olmayan çok sayıdaki sağlayıcı için de kayıt bunu belirtir ve puan bunu yansıtır.