VPN 稽核能證明什麼，以及不能證明什麼

簡短答案

稽核顯示，某個具名的單位在特定時間檢查了一組明確界定的系統，並回報其發現。這很有用，但涵蓋範圍遠比首頁上「已由獨立機構稽核」這句話所暗示的狹窄。

在稽核改變你對業者的看法前，你需要知道稽核屬於哪種類型、涵蓋哪些內容、何時進行，以及你是否能閱讀報告。

不同稽核回答不同問題

一項說法可能是真的，卻仍然回答了與你不同的問題。對應用程式進行的良好稽核，無法說明公司是否能將某次連線與某個人連結起來。

五個該提出的問題

1. 誰做的？ 具名且有聲譽可供承擔的公司，比未具名的「第三方」更有分量。
2. 採用什麼標準？ 明確說明的標準與方法可以拿來比較。籠統的認可聲明則不行。
3. 哪些內容在範圍內？ 整個伺服器群與抽樣檢查是不同的說法，而某些產品或伺服器類型有時會被排除在外。
4. 你能閱讀嗎？ 完整公開的報告、必須登入才能查看的報告，以及新聞稿，是三種不同程度的證據。
5. 何時進行？ 系統與所有者都會變動。舊稽核描述的是較早時期的公司，而一系列稽核比單次稽核揭示更多資訊。

每次稽核的界線

稽核回報的是已經結束的一段期間。稽核人員離開後的隔天，設定就可能改變，而報告中不會有任何內容顯示這件事。

稽核也仰賴公司展示的內容。稽核人員可以檢查系統並詢問員工，但要找出刻意建立來躲避他們發現的事物，手段有限。業者通常也會支付這項工作並同意其界線。這些都不代表稽核毫無價值，但確實表示稽核只是眾多證據中的一種。

其他證據可能來自業者未安排的事件，例如伺服器遭扣押，或法院命令調查後未發現任何資料。這類事件很罕見，而且同樣只描述某個時刻。

名錄如何解讀稽核

名錄將稽核視為具備多項性質的證據：由誰執行、採用什麼標準、公開了多少內容，以及距今多久。問題與方法論說明這些因素各自佔多少比重，以及該比重如何隨時間降低。

紀錄會列出每項數值背後稽核的出處及日期，讓你可以自行開啟來源。對於許多沒有可供引用資料的業者，紀錄也會如實說明，而分數會反映這一點。