Как разбиралось в статье про то, как читать отчёт аудита, сам факт проверки говорит не так много без понимания деталей. Отдельный, но связанный вопрос — сколько раз провайдер вообще проходил такую проверку.
Разовый аудит против регулярной практики
Провайдер, который прошёл один аудит несколько лет назад и с тех пор не повторял проверку, технически может честно писать «мы прошли независимый аудит» — но это не говорит о текущем положении дел. Провайдер с несколькими аудитами за разные годы демонстрирует более последовательную приверженность прозрачности как постоянной практике, а не разовой маркетинговой акции.
Разные аудиторы для разных аспектов
- Часть провайдеров проходит отдельные аудиты для разных частей продукта — отдельно для политики логирования, отдельно для безопасности кода приложений, отдельно для серверной инфраструктуры.
- Наличие нескольких разных, независимых друг от друга аудиторских компаний в истории провайдера (а не повторные проверки от одной и той же компании) может считаться более убедительным сигналом, поскольку снижает вероятность конфликта интересов между провайдером и конкретным аудитором.
- Публичная доступность самих отчётов (а не только упоминание факта аудита в маркетинге) — важный признак прозрачности; часть провайдеров публикует полные PDF-отчёты, часть — только краткое резюме.
| Критерий | Слабый сигнал | Сильный сигнал |
|---|---|---|
| Частота аудитов | Один аудит несколько лет назад | Несколько аудитов за разные годы |
| Аудиторские компании | Всегда одна и та же компания | Несколько независимых друг от друга компаний |
| Публикация отчётов | Только упоминание в маркетинге | Полный отчёт в открытом доступе |
| Охват проверки | Один аспект продукта | Логи, код приложений и инфраструктура отдельно |
Как использовать это при сравнении
При выборе между несколькими провайдерами с в целом похожими характеристиками число и регулярность независимых аудитов — разумный дополнительный критерий сравнения, который сложнее подделать, чем разовое рекламное заявление о приватности.
Достаточно ли одного пройденного аудита, чтобы доверять VPN-провайдеру?⌄
Не совсем. Провайдер, прошедший один аудит несколько лет назад и с тех пор не повторявший проверку, технически может честно говорить об аудите, но это мало говорит о текущем положении дел. Несколько аудитов за разные годы — более сильный сигнал.
Почему важно, чтобы аудиты проводили разные компании?⌄
Повторные проверки от одной и той же аудиторской компании снижают убедительность сигнала из-за возможного конфликта интересов. Несколько разных, независимых друг от друга аудиторов — более сильное доказательство добросовестности.
Что важнее — сам факт аудита или доступность полного отчёта?⌄
Публичная доступность самого отчёта — важный признак прозрачности. Часть провайдеров публикует полные PDF-отчёты, часть — только краткое резюме или просто упоминает факт аудита в маркетинге, что менее убедительно.
Как использовать количество аудитов при выборе между похожими провайдерами?⌄
Если провайдеры в целом похожи по характеристикам, число и регулярность независимых аудитов — разумный дополнительный критерий сравнения, который сложнее подделать, чем разовое рекламное заявление о приватности.
