我能不能信任这款应用程式？为协助记者回答此问题，技术专家Ben Finn提供了一份简便的检查清单，摘要说明在决定下载或提供任何个人资讯给应用程式或网站前，需要加以考量的最重要因素。
需回答的三大问题
1. 该网站或手机应用程式有无专家推荐？
查看Restore Privacy或Techradar等评论网站并阅读意见区块，以确认其他使用者是否推荐该项数位工具（小心专用于推销该网站或应用程式的网站）。
2. 该款数位工具是否清楚提供安全功能的相关资讯？
专家能够以直接明了的方式进行说明。刻意以复杂的方式解说可能用于吸引一般人，或表示对方的了解程度不足。
3. 制作者的资讯是否透明公开？
使用者应注意网站或应用程式制作者是否匿名；若之后发现数位工具为恶意程式，将无人可为此负责。此外，如制作者未明确说明所贩售内容，小心该网站或应用程式可能为用于监视使用者并出售其资料的陷阱。
背景资料查核
- 新闻。确认应用程式最近的相关新闻，特别是报告漏洞与遭骇的相关报导。
- 更新。确认应用程式的上次更新及其更新频率。寻找每个月至少更新一次，以修复错误与漏洞、针对任何新型攻击方法提供防护的应用程式。
- 后设资料。了解在初次点击或下载后，程式收集了哪些后设资料。这项资讯通常可在资料隐私区块找到。小心收集资讯超过所需范围的任何应用程式，因为所有收集资料的行为都有其目的。请设法了解其目的；收集资料为法定要求、用于行销或恶意行为。
- 存取层级。了解应用程式要求的权限，如果在根层次要求系统管理存取权，则该应用程式可能为恶意程式。收集并出售资料的应用程式不值得信任。如工具需要特定权限才能运作，尝试将其设为「仅在使用时允许」，但要注意部份应用程式可能会在背景持续执行。此功能可于设定中变更。
所应寻找的安全特色
- 开源和发布稽核。将程式的原始码提供任何人使用或修改。此举可保证透明度，并使数位工具有责符合一致标准。然而，开源程式并没有任何管理制度。部份开源工具虽未完全开放原始码，但仍可自称开源程式。如Signal近期宣布，为安全起见，其部分程式码将不再开放。
- 端对端加密。确保资料安全，以阻止第三方存取资讯的方式。此连结可提供更多资讯。
- 主控伺服器及组织设立地点。让使用者知道应用程式用于收集资料的法律依据为何。部分国家允许政府不需传票即可取得个人资料（中国、俄国、印度），另有部分国家设立极高的法规要求（希腊、加拿大）。
- GDRP（General Data Protection Regulation，一般资料保护规则）。规范资料收集的法律架构。尽管其首要目标为保护欧盟公民在欧盟及海外的隐私权，此规则已成为全球众多企业所遵循的标准。此连结可提供更多资讯。
作者Benjamin Finn来自美国休斯顿，在 IT 领域已有十年资历。这段期间其主要工作为替大型企业部署内部资安工具。过去两年来，他在缅甸研究如何于专制民族国家维持合适的资安水准。他并和台湾的多个团体合作，为其进行确切落实资安和安全措施的训练。
