VPN Audit คืออะไร? วิธีอ่านรายงานการตรวจสอบ

ตราสัญลักษณ์ที่เขียนว่า "ผ่านการ Audit โดยหน่วยงานอิสระ" ปรากฏอยู่บนหน้าแรกของบริการ VPN จำนวนมาก ฟังดูเหมือนเป็นหลักฐาน จึงเป็นเหตุให้ผู้ให้บริการอยากแปะไว้บนเว็บไซต์ แต่คำนี้ครอบคลุมงานหลากหลายมาก ตั้งแต่การตรวจซอร์สโค้ดของผู้ให้บริการอย่างลึก ไปจนถึงจดหมายสั้น ๆ ที่ยืนยันว่าคำกล่าวบางข้อดูสอดคล้องกัน การรู้ความต่างคือสิ่งที่แยกสัญญาณที่น่าเชื่อถือออกจากสัญญาณที่ว่างเปล่า

คู่มือนี้อธิบายว่า Audit ที่เป็นอิสระคืออะไร ประเภทที่คุณมีโอกาสเจอ รายงานทั่วไปมีโครงสร้างอย่างไร และอ่านส่วนที่สำคัญอย่างไร ได้แก่ ขอบเขต วันที่ วิธีการ ผลการตรวจ และการตอบสนองของผู้ให้บริการ พร้อมสัญญาณเตือน และบอกตรง ๆ ว่า Audit ที่ดีที่สุดก็ยังบอกคุณไม่ได้ทุกอย่าง เนื้อหานี้ต่อยอดจากคู่มือเปรียบเทียบผู้ให้บริการ VPN และให้มุมมองลึกขึ้นต่อสัญญาณหนึ่งในตารางคะแนนนั้น

Audit คืออะไร และไม่ใช่อะไร

พูดให้ง่ายที่สุด Audit คือการที่ฝ่ายที่ไม่ได้ทำงานให้สิ่งที่ถูกตรวจ เข้ามาตรวจสิ่งนั้น แล้วเขียนคำแถลงเป็นลายลักษณ์อักษรว่าพบอะไร สำหรับ VPN "สิ่งนั้น" อาจเป็น

• แอปบนโทรศัพท์และคอมพิวเตอร์
• เซิร์ฟเวอร์และวิธีตั้งค่า
• ซอฟต์แวร์หลังบ้านของผู้ให้บริการ เช่นระบบบัญชีและการชำระเงิน
• คำกล่าวอ้างที่เขียนไว้ของผู้ให้บริการว่าเก็บข้อมูลอะไร
• หรือกระบวนการของบริษัทด้านความปลอดภัยและการจัดการข้อมูล

Audit ไม่ใช่ใบรับรองว่า "ดีโดยรวม" ผู้ตรวจถูกว่าจ้างให้ทำงานที่กำหนดไว้ ทดสอบเฉพาะสิ่งที่งานนั้นรวมอยู่ และเขียนรายงานที่อธิบายเฉพาะสิ่งนั้น ถ้ารายงานบอกว่าผู้ตรวจตรวจการตั้งค่าเซิร์ฟเวอร์ในวันที่ระบุ ก็ไม่ได้พูดอะไรเกี่ยวกับแอป หรือเกี่ยวกับเซิร์ฟเวอร์ในอีกหนึ่งเดือนต่อมา

ลองนึกถึงการตรวจบ้าน รายงานที่บอกว่า "ตรวจหลังคาเมื่อวันที่ 3 มีนาคม ไม่พบรอยรั่ว" มีประโยชน์ แต่ไม่ได้บอกว่าระบบประปาใช้งานได้หรือไม่

Audit ประเภทหลัก ๆ

ผู้ให้บริการใช้คำเดียวกันกับงานที่ต่างกันมาก ตารางนี้จัดกลุ่มประเภทที่พบบ่อย

ประเภท Audit	ตรวจอะไร	บอกอะไรคุณได้	บอกอะไรไม่ได้
การประเมินความปลอดภัยของแอป	แอปบนโทรศัพท์และเดสก์ท็อป ทดสอบหาจุดบกพร่อง	พบจุดอ่อนด้านการเขียนโค้ดหรือการออกแบบทั่วไปหรือไม่	เซิร์ฟเวอร์ถูกดูแลอย่างไร
การตรวจเซิร์ฟเวอร์และโครงสร้างพื้นฐาน	การตั้งค่า การควบคุมการเข้าถึง แนวปฏิบัติการอัปเดตบนเซิร์ฟเวอร์	เซิร์ฟเวอร์ปฏิบัติตามแนวทางที่ปลอดภัยในวันที่ตรวจหรือไม่	ยังเป็นเช่นนั้นอยู่หรือไม่ในภายหลัง
การตรวจซอร์สโค้ด	โค้ดของแอปหรือซอฟต์แวร์หลังบ้าน	โค้ดที่เขียนไว้ทำงานตามที่อ้างหรือไม่	โค้ดที่รันจริงในระบบใช้งานคืออะไร
การรับรองด้านความเป็นส่วนตัวหรือ log	ระบบเก็บสิ่งที่นโยบายบอกว่าเก็บจริงหรือไม่	แนวปฏิบัติด้านข้อมูลที่แถลงตรงกับระบบที่ตรวจในเวลานั้นหรือไม่	พฤติกรรมนอกช่วงที่ตรวจหรือนอกระบบที่ตรวจ
การทดสอบเจาะระบบ	พยายามเจาะเข้าในแบบที่ผู้โจมตีอาจทำ	ส่วนที่ทดสอบทนทานเพียงใด	สิ่งใดก็ตามนอกกติกาและเวลาของการทดสอบ
การรับรองระบบการจัดการ	กระบวนการของบริษัท (การจัดการความปลอดภัย มาตรการควบคุม)	มีกระบวนการและทำตามจริงหรือไม่	ความเป็นส่วนตัวทางเทคนิคของผลิตภัณฑ์ตัวใดตัวหนึ่ง

ผู้ให้บริการหลายรายผสมหลายประเภท เป็นสัญญาณดีถ้ารายงานถูกเผยแพร่และขอบเขตชัดเจน และน่าเชื่อน้อยลงถ้ามีเพียงโลโก้เดียวโดยไม่มีรายละเอียด

โครงสร้างของรายงาน

รายงานที่มีประโยชน์มักมีส่วนพื้นฐานเหมือนกัน การอ่านตามลำดับเร็วกว่าการอ่านตั้งแต่ต้นจนจบ

1. หน้าปกและบทสรุป ใครเขียน เขียนให้ใคร และเมื่อไร อย่าหยุดอ่านแค่ตรงนี้
2. ขอบเขต ตรวจอะไร และที่สำคัญไม่แพ้กันคือยกเว้นอะไร
3. วันที่ งานทำเมื่อไร และกับซอฟต์แวร์หรือระบบเวอร์ชันไหน
4. วิธีการ งานทำอย่างไร เช่นสัมภาษณ์ ตรวจการตั้งค่า อ่านโค้ด เครื่องมือทดสอบ การเข้าถึงจริง
5. ผลการตรวจ ประเด็นที่พบ มักมีระดับความรุนแรงกำกับ
6. การตอบสนองของผู้ให้บริการ อะไรถูกแก้ อะไรถูกยอมรับความเสี่ยง อะไรยังเปิดอยู่
7. ข้อจำกัด คำแถลงว่าผู้ตรวจตรวจสอบอะไรไม่ได้
8. บทสรุป ข้อความโดยรวมของผู้ตรวจ ซึ่งควรสอดคล้องกับส่วนก่อนหน้า

ถ้าส่วนใดหายไปจากสิ่งที่ผู้ให้บริการเผยแพร่ ให้ถามว่าทำไม "จดหมายสรุป" อาจชอบธรรม แต่มีน้ำหนักน้อยกว่ารายงานที่มันสรุป

อ่านขอบเขต: ตัวอย่างที่ลงมือทำ

ขอบเขตคือส่วนที่ความหมายส่วนใหญ่ซ่อนอยู่ ลองดูข้อความสมมติจากรายงานนี้

"เราตรวจการตั้งค่าของเซิร์ฟเวอร์ใช้งานจริง 12 เครื่อง ในวันที่ 14 และ 15 พฤษภาคม และสัมภาษณ์วิศวกรสองคนเรื่องการจัดการข้อมูล เราไม่ได้ทดสอบแอปมือถือ แพลตฟอร์มเรียกเก็บเงิน หรือเซิร์ฟเวอร์ที่เพิ่มหลังวันที่ 15 พฤษภาคม"

วิธีอ่านมีดังนี้

• "เซิร์ฟเวอร์ใช้งานจริง 12 เครื่อง" เป็นตัวอย่าง ไม่จำเป็นต้องเป็นทั้งหมด รายงานบอกไหมว่าเลือกตัวอย่างอย่างไร
• "วันที่ 14 และ 15 พฤษภาคม" คือช่วงเวลาที่ตรวจ สิ่งที่ทำต่างไปหลังจากนั้นอยู่นอกรายงาน
• "สัมภาษณ์วิศวกรสองคน" หมายความว่าหลักฐานส่วนหนึ่งคือสิ่งที่คนพูด ซึ่งใช้ได้ แต่แข็งแรงน้อยกว่าการตรวจระบบโดยตรง
• "ไม่ได้ทดสอบแอปมือถือ แพลตฟอร์มเรียกเก็บเงิน หรือเซิร์ฟเวอร์ที่เพิ่มหลังวันที่ 15 พฤษภาคม" คือรายการที่ชัดเจนของสิ่งที่ยังไม่ถูกตรวจ ความตรงไปตรงมาแบบนี้เป็นสัญญาณดี

เทียบกับพาดหัวอย่าง "บริการของเราผ่านการ Audit และพบว่าปลอดภัย" พาดหัวนั้นไม่มีรายละเอียดเหล่านี้เลย และ "ปลอดภัย" เป็นคำกล่าวอ้างกว้างที่ผู้ตรวจที่มีขอบเขตแคบไม่อาจสนับสนุนได้

ใครจ่ายเงิน และทำไมจึงสำคัญ

Audit ส่วนใหญ่ถูกว่าจ้างและจ่ายเงินโดยผู้ให้บริการเอง ซึ่งเป็นเรื่องปกติ เพราะคนนอกน้อยรายที่ออกทุนให้งานแบบนี้ แต่ก็ก่อให้เกิดคำถามเรื่องแรงจูงใจ ประเมินความเป็นอิสระด้วยคำถามเหล่านี้

• ผู้ตรวจเป็นบริษัทที่มีชื่อและตั้งมานาน มีงานอื่นที่เผยแพร่ หรือเป็นองค์กรที่คุณหาไม่เจอ
• ผู้ตรวจเผยแพร่คำแถลงของตัวเอง หรือยืนยันงานบนเว็บของตนเองด้วยหรือไม่ ไม่ใช่แค่บนเว็บของผู้ให้บริการ
• ผู้ให้บริการเผยแพร่รายงานฉบับเต็ม รวมถึงผลที่ไม่น่าชื่นชม หรือเผยแพร่เพียงข้อความตัดตอนสั้น ๆ
• มีการเปิดเผยเงื่อนไขของงาน เช่นผู้ตรวจได้รับอนุญาตให้เข้าถึงอะไรบ้างหรือไม่
• บริษัทเดียวกันตรวจผู้ให้บริการรายเดิมซ้ำ ๆ หรือไม่ และถ้าใช่ รายงานแสดงความลึกที่เพิ่มขึ้น หรือเพียงทำรายการตรวจเดิมซ้ำ

คำถามเหล่านี้ไม่ได้พิสูจน์ว่ามีการกระทำผิด แต่ช่วยให้คุณเห็นว่าควรให้น้ำหนักผลลัพธ์แค่ไหน

ผลการตรวจ: รายงานที่ดูสมบูรณ์เป็นอย่างไร

รายงานส่วนใหญ่จัดระดับความรุนแรงของประเด็น มักใช้คำเช่น วิกฤต สูง กลาง ต่ำ และเพื่อทราบ รายงานที่ดูสมบูรณ์มักมีลักษณะร่วมกันบางอย่าง

ลักษณะ	สัญญาณที่ดี	สัญญาณเตือน
จำนวนประเด็นที่พบ	จำนวนสมเหตุสมผล รวมประเด็นระดับต่ำบางข้อ	ไม่พบประเด็นเลยในขอบเขตกว้างและลึก
ป้ายระดับความรุนแรง	มีนิยามและสม่ำเสมอ	ไม่มีนิยาม หรือติดป้าย "เพื่อทราบ" ทั้งหมด
การตอบสนองของผู้ให้บริการ	อธิบายการแก้ไข ระบุการทดสอบซ้ำ	"ยอมรับ" ประเด็นร้ายแรงโดยไม่อธิบาย
การทดสอบซ้ำ	มีการติดตามผลยืนยันการแก้ไข	ไม่มีร่องรอยว่าการแก้ไขถูกตรวจ
ความละเอียด	เฉพาะเจาะจงพอให้ผู้อ่านด้านเทคนิคตามได้	วลีคลุมเครือโดยไม่อธิบายประเด็น

รายงานที่ระบุประเด็น แสดงว่าถูกแก้ไข และบันทึกการทดสอบซ้ำ มักน่าเชื่อถือกว่ารายงานที่ไร้ที่ติ ซอฟต์แวร์ถูกสร้างโดยคน และการตรวจที่ลึกมักพบบางอย่างเสมอ

ความสด: Audit เสื่อมค่าเร็ว

บริการ VPN เปลี่ยนไปอย่างต่อเนื่อง มีแอปใหม่ออก มีเซิร์ฟเวอร์เพิ่ม พนักงานย้ายงาน และโค้ดถูกเขียนใหม่ Audit อธิบายสถานะ ณ เวลานั้น คุณค่าจึงลดลงตามกาลเวลา

• ดูวันที่ของงาน ไม่ใช่วันที่ตราถูกใส่ลงบนเว็บไซต์
• ดูว่าเวอร์ชันที่ตรวจตรงกับเวอร์ชันปัจจุบันหรือไม่ การออกแบบใหม่ครั้งใหญ่หลังรายงานทำให้รายงานอ่อนลง
• มองหาการทำซ้ำเป็นระยะ ผู้ให้บริการที่ทำ Audit ซ้ำเป็นช่วง ๆ แสดงว่ามีกระบวนการ ไม่ใช่ทำครั้งเดียว
• ระวังรายงานที่เก่าหลายปี โดยเฉพาะถ้าแอป เจ้าของ หรือโครงสร้างพื้นฐานของผู้ให้บริการเปลี่ยนไปแล้ว

ไม่มีกฎสากลว่าเก่าแค่ไหนถึงเก่าเกินไป แต่รายงานที่เก่ากว่าการเปลี่ยนแปลงใหญ่ของบริการบอกอะไรเกี่ยวกับปัจจุบันได้น้อย

สิ่งที่ Audit บอกคุณไม่ได้

แม้รายงานที่ยอดเยี่ยมก็ยังมีข้อจำกัด

• บอกไม่ได้ว่าอะไรจะเกิดขึ้นหลังการตรวจสิ้นสุด
• ไม่ได้อธิบายอุปกรณ์ เครือข่าย หรือผู้ให้บริการอินเทอร์เน็ตของคุณ ซึ่งมีบันทึกของตัวเอง ดูผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้างสำหรับสิ่งที่ยังมองเห็นได้ในแต่ละกรณี
• ไม่ได้บอกว่าที่ตั้งตามกฎหมายของผู้ให้บริการทำให้เขาเสี่ยงต่อคำร้องขอหรือไม่ นั่นเป็นอีกคำถามหนึ่ง อยู่ในเขตอำนาจของ VPN คืออะไร
• ไม่ได้ทำให้คุณนิรนาม แนวคิดว่า VPN หรือ Audit ทำเช่นนั้นได้เป็นหนึ่งในความเชื่อผิด ๆ เกี่ยวกับความปลอดภัยของ VPN
• อาจแคบในแบบที่การตลาดกลบไว้

Audit เป็นหลักฐานชิ้นหนึ่ง แข็งแรงกว่าคำกล่าวอ้างที่ไม่มีอะไรรองรับ และอ่อนกว่าที่คนส่วนใหญ่คิด

รายการตรวจสำหรับอ่านคำกล่าวอ้างเรื่อง Audit ทุกชนิด

ใช้รายการนี้เมื่อเห็นตราสัญลักษณ์หรือข่าวประชาสัมพันธ์

1. เปิดอ่านรายงานจริงได้ไหม ไม่ใช่แค่บทสรุปหรือโลโก้
2. ผู้ตรวจมีชื่อไหม และผู้ตรวจยืนยันงานเองอย่างเป็นอิสระไหม
3. อะไรอยู่ในขอบเขต และอะไรถูกยกเว้น
4. งานเริ่มและสิ้นสุดเมื่อไร
5. ตรวจแอปหรือระบบเวอร์ชันไหน
6. ทำงานอย่างไร สัมภาษณ์ ตรวจการตั้งค่า โค้ด หรือทดสอบ
7. พบอะไร ร้ายแรงแค่ไหน และแก้ไขหรือยัง
8. มีการทดสอบซ้ำไหม
9. ใหม่แค่ไหน และบริการเปลี่ยนไปแล้วหรือไม่
10. ผู้ให้บริการทำ Audit ซ้ำเมื่อเวลาผ่านไปหรือไม่

ถ้าผู้ให้บริการตอบเกือบทั้งหมดอย่างเปิดเผย นั่นเป็นตัวบ่งชี้ที่ดีกว่าโลโก้ใดโลโก้หนึ่ง ถ้าตอบไม่ได้ นั่นก็เป็นข้อมูลที่มีประโยชน์เช่นกัน

สามสถานการณ์ตัวอย่าง

นักศึกษาตรวจตรา มีนาเห็นข้อความ "ผ่านการ Audit โดยบริษัทอิสระ" บนหน้าแรกของผู้ให้บริการ เธอคลิกและพบจดหมายสามบรรทัดที่ไม่มีขอบเขต ไม่มีวันที่ และเป็นบริษัทที่เธอหาไม่เจอทางออนไลน์ เธอถือว่าตรานั้นเป็นการตลาด แล้วมองหาผู้ให้บริการที่เผยแพร่รายงานฉบับเต็ม

ฟรีแลนซ์ที่อ่านรายงานจริง ทศพลเปิดรายงาน 40 หน้า เขาอ่านขอบเขตก่อนและเห็นว่าแอปถูกทดสอบ แต่เซิร์ฟเวอร์ไม่ได้ถูกทดสอบ รายงานระบุประเด็นระดับกลางหลายข้อ แต่ละข้อมีหมายเหตุ "แก้ไขและทดสอบซ้ำแล้ว" เขาสรุปว่าแอปผ่านการตรวจสอบจริง และเขายังต้องอ่านนโยบายของผู้ให้บริการเพื่อดูแนวปฏิบัติของเซิร์ฟเวอร์

ผู้ซื้อที่เปรียบเทียบสองราย อิริสมีผู้ให้บริการรายหนึ่งที่มีรายงานอายุสามปีจากก่อนการเขียนแอปใหม่ครั้งใหญ่ และอีกรายที่ไม่มี Audit แต่มีนโยบายการจัดการข้อมูลละเอียดและเงื่อนไขชัดเจน ไม่มีรายใดสมบูรณ์แบบ เธอตัดสินใจว่ารายงานเก่าเป็นสัญญาณอ่อน อ่านนโยบายทั้งสองฉบับ และใช้ช่วงทดลองสั้น ๆ ดูว่ารายไหนดีกว่าในทางปฏิบัติ คู่มือสิ่งที่ควรตรวจก่อนจ่ายเงินซื้อ VPNช่วยในขั้นตอนนั้น

ข้อผิดพลาดที่พบบ่อย

• ถือว่าตราสัญลักษณ์เป็นหลักฐานโดยไม่อ่านรายงาน
• ไม่สนใจขอบเขตและเข้าใจว่า "ผ่าน Audit" ครอบคลุมทุกอย่าง
• เชื่อรายงานที่ไม่ระบุชื่อผู้ตรวจ
• สมมติว่าไม่พบประเด็นเลยดีกว่าพบประเด็นที่แก้แล้วบางข้อ
• ละเลยวันที่และเวอร์ชัน
• เชื่อว่า Audit หมายถึงผู้ให้บริการไม่มีวันผิดพลาด
• ถือว่าการไม่มี Audit เป็นหลักฐานของพฤติกรรมไม่ดี

สรุป

VPN Audit ที่เป็นอิสระคือการตรวจสอบโดยบุคคลที่สามต่อส่วนที่กำหนดของบริการในเวลาที่กำหนด ให้อ่านขอบเขต วันที่ วิธีการ ผลการตรวจ และการตอบสนองตามลำดับนั้น ตรวจว่าผู้ตรวจเป็นใคร และรายงานฉบับเต็มเปิดเผยหรือไม่ แล้วชั่งความสดเทียบกับการเปลี่ยนแปลงตั้งแต่นั้น Audit ที่ดีเพิ่มความมั่นใจ แต่ไม่รับประกันพฤติกรรมในอนาคตและไม่ครอบคลุมทุกอย่าง ใช้เป็นสัญญาณหนึ่งควบคู่กับนโยบาย ประวัติ และการทดสอบด้วยตัวเอง

ถ้าพาสแบบเติมเงินแบบเรียบง่ายเหมาะกับความต้องการของคุณระหว่างที่ชั่งน้ำหนักสัญญาณเหล่านี้ หน้าราคาพร้อมให้ดูเมื่อคุณอยากดู