Onderwerp: Dataretentiewet 1 juli - wie moet de logfiles bewaren

De Opta deed vooral nogal vaag. Ik moest maar een aanmeldformulier invullen en opsturen met alle gegevens, dan zouden ze mijn geval bespreken tijdens een vergadering om te kijken of ik me nu wel of niet aan moet melden bij de OPTA. Ik wil me helemaal niet aanmelden bij de OPTA en ik wil al helemaal niet onder die absurde dataretentie wet vallen Schriftelijk bevestigen door de OPTA levert overigens niet veel op aangezien de OPTA niet bepaalt wie er wel/niet onder de dataretentie wetgeving valt :/

Oorspronkelijk geplaatst door BartVB

Overigens heel vreemd dat ik over deze problemen (bij de hosters) tot nu toe nog vrijwel niets gehoord heb. Voor zover ik weet is er ook niet echt een beroepsorganisatie, wel?

"Onze" belangen worden behartigd door ICT Office deze club heeft al een tijd geprobeerd te lobyen voor ons aller standpunt (dat deze wet zuigt), maar helaas nog niet al te succesvol in Brussel/Den Haag (alhoewel een meerderheid van de eerste kamer tegen schijnt te zijn).

Er is al wel wat tegen gedaan, zo was er de petitie die helaas door maar 58.000 europeanen ondertekend werd. Misschien tijd voor een nieuwe petitie? Denk dat mensen nu al meer inzien hoe slecht deze wet is....

Oorspronkelijk geplaatst door dubbelepunt

Beste,

de meesten van jullie zullen ongetwijfeld op de hoogte zijn van de dataretentiewet die per 1 juli ingevoerd word. Providers zijn vanaf dat moment wettelijk verplicht logfiles 18 maanden te bewaren.

Is er nog niet doorheen.

zie: http://www.justitie.nl/images/1straf...cm34-20527.pdf

29 mei 2007

strafrechtelijke gegevensverwerking en technologische ontwikkelingen
7 Besluit bewaarplicht telecommunicatiegegevens
Stand: in voorbereiding
8 Wet bewaarplicht telecommunicatiegegevens
Stand: advies Raad van State

Onduidelijk is echter wat er onder 'providers' wordt verstaan. Ik heb een webdesign en -hosting bedrijf en huur een managed dedicated server. Ben ik nu een provider, of is de club die mijn server managed dat? En -belangrijker- moet ik nu logfiles lang gaan bewaren?

In een wet staat nooit een strakke definitie het is aan een rechter omdat te bepalen.

In de wet staat letterlijk "openbare aanbieder van telecommunicatie diensten" .
Je zou kunnen stellen dat internet webhosting geen telecommunicatie dienst is, maar een rechter zal dat niet kunnen begrijpen en in de geest van de wet (waar de wet voor bedoelt is) toch anders beoordelen.

Verder gaat het erom dat je de handelingen van een gebruiker van die openbare dienst kunst opslaan.
Aangezien alle Nederlandse (en straks EU) ISP's van hun ADSL/Modem/VOIP klanten de verkeersgegevens gaan opslaan, en jij niet de identiteit achter een IP dus niet hebt, kan men niet verwachten dat jij van anonieme verbindingen het verkeer gaat opslaan.

Wat je wel verplicht bent om te doen, is de verkeersgegevens van je eigen klanten op te slaan.

Echter een rechtspersoon (bedrijf) die klant bij je is, daar heb jij niet de NAW gegevens van de natuurlijke persoon die daadwerkelijk de handelingen pleegt, dus het vrijwel nooit voorkomen (tenzij hele bedrijf criminele organisatie blijkt) dat men deze gegevens zal op eisen.

Dus voor colo, dedicated hosters en shared hosters is het volgende van belang:

Realtime voorhanden hebben van NAW gegevens van klanten incombinatie met login namen, domeinnamen en de log gegevens die relevant zijn aan de diensten die aan jij aan hem levert.

Dus bij shared hosting, moeten zijn verkeersgegevens, logins op ftp/ssh/webpabel, tijdstip, tijdsduur, afkomstig ip adres worden gelogged.

SMTP/POP verkeers gegevens.

Echter bij dedicated en co-lo, is hij zelf verantwoordelijk voor het voorhanden hebben van deze logfiles.

Jij kan hooguit de statistieken per klant die je van je switch/router afhaalt bewaren.

Overigens is er ook een leuke situatie aan de hand, stel jij hebt een server die je alleen voor jezelf gebruikt (of een klant) dan kan de overheid niet van je eisen dat je iets logt, immers het verschoningsrecht gaat voor enig ander recht.
Ook indien je tap bevel krijgt, hoef je niet mee te werken. Ze zullen dan proberen anders (hoger) de tap te zetten, maar hang je rechtstreeks aan de AMS-IX zal dat lastig worden (tenzij ze denken dat ze zonder detectie je kabel los kunnen trekken)

Overigens is bewaarplicht niet echt een probleem, tenminste als je opensource gebruikt moet je hier en daar wat aanpassingen maken zodat je kunt conformeren aan de wet.
Echter bij closed source (Microsoft hosting) of Zend/Ioncube encoded oplossingen heb je een probleem, immers klanten kunnen bij de meeste panels over hun logfiles beschikken als ook dat je niet alles kunt aanpassen om te conformeren aan de wet. En Amerikaanse software boeren staan er niet om bekend dat ze voor EU-problemen oplossingen gaan maken.

Overigens zou ik me eerder druk maken over aftap verplichting, het is vreemd dat hosters denken dat ze daar niet aan hoeven te voldoen.
Zorg er tenminste voor dat je een procedure op papier hebt klaar liggen, want de overheid controleert momenteel ISP's en diegene die niet conformeren krijgen een boete, zodra ze alle ISP's hebben gehad gaan ze webhosting bedrijven controleren, en die boetes zijn niet mis.

Aftapverplichting geldt voor elk bedrijf die NAW gegevens van iemand heeft en telecommunicatie dienst levert. Aangezien je vanuit een server kunt communiceren (o.a. portforwarding) is het niet de vraag of een webhoster gevraagd word om een tap te zetten, maar wanneer en wie de eerste zal zijn.

Overigens zijn deze wettelijke verplichtingen een zeer goede zaak immers hierdoor zullen straks degene die het niet technisch, financieel en juridisch kunnen behappen wegvallen, het is alleen jammer dat de overheid erg traag is.

Wat office-ICT aangaat, zitten daar webhosters bij?

De enige partij die (te laat overigens) iets heeft geprobeerd was NLIP, maar ik denk dat Nederland rijp is voor een stichting die de belangen van webhost en webdiensten leveranciers gaan behartigen.

Overigens ook handeling aan een domeinnaam zijn verkeersgegevens. (b.v. update contact gegevens, tijdstip, welk login, ip etc...)

zie voor het wetsvoorstel: http://www.ez.nl/content.jsp?objectid=149504

Oorspronkelijk geplaatst door MediaServe

Je bent zelf verantwoordelijk om (via de media) op de hoogte te blijven van wetswijzigingen.

Staatscourant.

Alleen indien het daar in heeft gestaan ben je juridisch verplicht om daar wetenschap van te hebben.

Met andere woorden, indien het daar niet in heeft gestaan, dan bestaat het (formeel) niet en kan men je er niet op aanspreken.

Dus als ik het goed begrijp.
Moet alles wat shared webhosting aangaat worden gelogd?

- FTP
- Http/Https (Bij die tweede heb ik mijn twijfels)
- Inloggen bij het Klant paneel
- SSH
- POP
- SMTP
- IMAP
- voIP

Inclusief: tijd, IP-adres, duur (Hoe dat moet wil ik graag weten).


Bij colocatie/dedicated klanten, moet je dus alleen de logs bij houden van de router.

En bij domeinnaam, contact wijzigingen.
Geld hierbij dan ook wijzigingen in de zone?

Het is wel zo als deze wet er komt, dan er dan duidelijkheid moet zijn wat er moet worden gelogd en dat de informatie over de wet vrij opvraagbaar is.

Echter bij closed source (Microsoft hosting) of Zend/Ioncube encoded oplossingen heb je een probleem, immers klanten kunnen bij de meeste panels over hun logfiles beschikken als ook dat je niet alles kunt aanpassen om te conformeren aan de wet.

Gezien het probleem met Microsoft Hosting, heb dan eigenlijk meer een probleem richting MS, hun willen alles closed houden en je kan dus niets aanpassen
Even als grapje, dan zou je eigenlijk denken op een verbod van MS software in de webhosting branch

Oorspronkelijk geplaatst door Rollerscapes

Dus als ik het goed begrijp.
Moet alles wat shared webhosting aangaat worden gelogd?

- FTP
- Http/Https (Bij die tweede heb ik mijn twijfels)
- Inloggen bij het Klant paneel
- SSH
- POP
- SMTP
- IMAP
- voIP

Inclusief: tijd, IP-adres, duur (Hoe dat moet wil ik graag weten).

Het gaat om verkeergegeven of te wel de informatie die een bepaalde handeling van "IEMAND" met zich meebrengt.
Inhoudelijk in de packetskijken (dus de handeling inhoudelijk) mag je niet bekijken zonder toestemmen van die "IEMAND" of onder "dwang" van een gerechtelijk bevel.

Duur is inderdaad lastig, pas als er een webhoster is aangeklaagd is de overheid verplicht dit te definieren, uitzichzelf (zie ook dramatisch verlopen technische specificaties van TIIT op http://www.opentap.org/ ) schiet het niet op bij de overheid.

Bij voorkeur ontvangen zij alles realtime in een door hen gespecificeerde XML formaat.

Dat gezegd hebbende, ISP's moeten dagelijk hun klanten database + IP adres doorgeven, het is een kwestie van tijd dat de overheid van webhosters ook dergelijke lijsten op dagelijkse basis wenst te ontvangen. Zodat er geen anonieme websites meer zullen/kunnen bestaan. (zal wel grappig worden bij gesponsorde hosting).

Bij colocatie/dedicated klanten, moet je dus alleen de logs bij houden van de router.

Verder heb jij formeel geen toegang tot die machines, dus het enige wat jij kunt zien is Klant A op switchport B..... ik denk niet dat ze kunnen eisen dat jij verkeergegevens van die switch port bij houd, echter aangezien ze alle bezochte url's van consumenten bij ISP's willen houden (incluis HTTP post/put ) zou mij het niets verbazen als ze er wel om zouden vragen.

En bij domeinnaam, contact wijzigingen.
Geld hierbij dan ook wijzigingen in de zone?

Zonefile wijziging is een handeling die en klant doet of een door de klant aangewezen persoon die een account heeft die zulke rechten heeft, dus in principe ja.

Het is wel zo als deze wet er komt, dan er dan duidelijkheid moet zijn wat er moet worden gelogd en dat de informatie over de wet vrij opvraagbaar is.

In een wet staat nooit iets. Een wet is een "catch_all_expections" principe, ruim geformuleerd, vervolgens kunnen de handhavers/toezichthouders regelgeving uitschrijven en mensen beboeten die het niet op hun manier doen.

In dit geval zijn er nogal wat belanghebbende, Politie, inlichtingendiensten (3 stuks), openbaar ministerie, justitie, opta, ministerie van EZ (in de vorm van agentschap telecom, zie onderste regels).

Deze zitten in een praatgroepje (niet allemaal, maar wel degene die het meest te vertellen hebben) die uiteindelijk bepalen welke kant iets op gaat. Aangezien ministerie van Binnenlandse zaken (o.a. AIVD) het meest te vertellen heeft, bepalen zij grotendeels in hoeverre ze deze wetgeving kunnen uitmelken, de andere partijen zitten er eigenlijk alleen bij om het operationeel en juridisch te begeleiden en te zorgen dat het hen geen geld gaat kosten.

Gezien het probleem met Microsoft Hosting, heb dan eigenlijk meer een probleem richting MS, hun willen alles closed houden en je kan dus niets aanpassen

Niets aanpassen, maar je kunt wel via SNMP vrijwel elke variable uitlezen, dus je moet in software ontwikkeling gaan investeren, iets wat de overheid niet voor je gaat doen.
Het lijkt mij redelijk dat de overheid een oplossing maakt, echter gezien TIIT verleden, zullen zij niets ontwikkelen, slechts technische eisen stellen zonder daar goed over na te denken.

Even als grapje, dan zou je eigenlijk denken op een verbod van MS software in de webhosting branch

Of juist niet, NSA inside software is voor bepaalde partijen een fijne aanvulling, het is niet voor niets dat bepaalde niet Amerika gezinde landen een verbod hebben op het gebruik van Microsoft producten in strategische oplossingen. Overigens geldt dit ook voor producten uit Isreal zoals Checkpoint of Cisco apparatuur.

Sommige bugs die in producten worden gevonden liggen zo voor de hand, dat sommige mensen (terecht in mijn optiek) haast gaan denken dat het eerder een bewust gemaakte feature is dan een bug, echter bij closed source kun je moeilijk de "comments" die bij de code van die feature staan lezen

btw: check aftap (dus niet bewaarplicht) verplichting http://www.agentschap-telecom.nl/inf...ginas/faq.html

Wat mij verder erg opvalt is dat er nog steeds niet richting de branche in het algemeen gecommuniceerd word, het lijkt mij sterk dat de multinationals is ieders belang aan tafel zit bij bepaalde overleggen. (bij TIIT discussie was het ieder voorzich, zelfs -in mijn optiek- NLIP, ik was dan ook niet verbaasd dat Pim op eens een aftap bedrijfje was begonnen)

Allemaal goed best leuk en aardig, maar waar kan je de eisen vinden? Via overheid.nl heb ik alleen een hoeveelheid commentaar van het CBP gezien..

Verkeersgegevens is strikt genomen wie met wie, wanneer, waar en hoe lang. Dat laatste is met een stateless protocol als http erg lastig

Dat "hoe lang" is eigenlijk bedoeld voor Voip verbindingen, niet voor http.

Oorspronkelijk geplaatst door h4f

Wat office-ICT aangaat, zitten daar webhosters bij?

Allereerst een goed verhaal!

Over ICT-office de leden zijn vooral grote hard/software bedrijven (IBM, HP, CapGemini,...) , maar ook partijen als Easynet, AOL, tele2, kpn,.....

Misschien een idee voor een nieuwe petitie onder isp's/hosters/voipproviders (zegmaar het wht publiek) tegen deze bizare regeling en die dan aanbieden aan de eerste kamer (die toch al tegen is)?

Oorspronkelijk geplaatst door maartenb

Dat "hoe lang" is eigenlijk bedoeld voor Voip verbindingen, niet voor http.

SSL ook.

Oorspronkelijk geplaatst door Ijsbox

Allereerst een goed verhaal!

Over ICT-office de leden zijn vooral grote hard/software bedrijven (IBM, HP, CapGemini,...) , maar ook partijen als Easynet, AOL, tele2, kpn,.....

Misschien een idee voor een nieuwe petitie onder isp's/hosters/voipproviders (zegmaar het wht publiek) tegen deze bizare regeling en die dan aanbieden aan de eerste kamer (die toch al tegen is)?

ICT-office heeft kennelijk een paar grote leden, maar van een paar die ik hier zie staan sluit ik uit dat ze op dit gebied zich laten vertegenwoordigen door ICT-office.
Deze schuiven namelijk zelf wel aan.

Verder is een petitie zinloos, hoeveel petities in het verleden hebben geholpen?

Zeker onder de HOAX "terreur dreiging" is er geen politieke wil om realistisch hiermee om te gaan.

Ook is het zo dat bewaarplicht niet "op eens" is verzonnen, het is al tientallen jaren de natte droom van elke opsporings en inlichtingen medewerker.

Aan gezien nu de neusen van de politieke elite de juiste kant op staan, zijn ze slechts nu aan het verzilveren waar ze al jaren van dromen.

Dat ze bij de technische implementatie ook doodleuk privacy schenden dat vertellen ze er niet bij (zie ook URL bewaarplicht discussie).

Oorspronkelijk geplaatst door Ijsbox

Allereerst een goed verhaal!

Over ICT-office de leden zijn vooral grote hard/software bedrijven (IBM, HP, CapGemini,...) , maar ook partijen als Easynet, AOL, tele2, kpn,.....

Misschien een idee voor een nieuwe petitie onder isp's/hosters/voipproviders (zegmaar het wht publiek) tegen deze bizare regeling en die dan aanbieden aan de eerste kamer (die toch al tegen is)?

Een petitie is zinloos, de orginele petitie tegen dataretentie haalde maar zo'n 30.000 ondertekeningen, dat is peanuts!! Verder is de richtlijn er nu eenmaal en als Nederland kunnen we dat niet meer integraal terugdraaien.

Wat wel kan is dat de Eerste Kamer het huidige wetsvoorstel verwerpt, waarna er een nieuwe, hopelijk betere implementatie van de dataretentie richtlijn voor in de plaats wordt gesteld.

Oorspronkelijk geplaatst door skunkah

Wat wel kan is dat de Eerste Kamer het huidige wetsvoorstel verwerpt, waarna er een nieuwe, hopelijk betere implementatie van de dataretentie richtlijn voor in de plaats wordt gesteld.

Raad van state zie http://www.overheid.nl/home/zowerktd...enwettotstand/

Over het proces hoe een wet tot stand komt.

Overigens is het EU-wetgeving, Nederland ratificeert en implementeert EU-wetgevig die hun goed uitkomen (meestal) als eerste in de EU, wetgeving die hun niet uitkomen (of naar oud-Joods gebruik, hun geld kosten) als laatste, totdat ze boetes opgelegd krijgen en zelfs dan blijven ze traineren.

Overigens zijn de meeste wetten hamerstukken en is er amper debat over.
Balkende 1 & 2 behoren tot de kabinetten die meer wetgeving er door heen gejaagd hebben dan meeste andere kabinetten (in eenzelfde periode) uit het verleden van Nederland. Met name Donner en Remkes waren goed bezig met het inperken van onze rechten.

Overgens hadden er 58.000 mensen hun krabbel onder de petitie tegen bewaarplicht gezet.

Zie: http://www.xs4all.nl/nieuws/bericht.php?id=699

Ik had de petitie online getekend.
Alleen mocht dat niet baten

h4f, bedankt voor de vele informatie!

De hosting community day van Microsoft gaat hier ook aandacht aan besteden.

De volgende onderwerpen komen o.a. aan bod:
- Bewaarplicht
- Forefront
- Backupagent
- Microsoft TalentLab
- Microsoft onderzoek naar het gebruik van gehoste applicaties

Misschien interessant, is 27 juni.

Voor de MS fans onder ons, Microsoft besteedt er binnenkort ook aandacht aan op de Webhost Community Day in Schiphol. Toegang, Lunch, Goodies en een hoop reclame is gratis. Ikzelf zit nog even te kijken of ik het in kan passen. Altijd een hele ramp om 's ochtends om 9:30 aanwezig te zijn in A'dam als ik lekker rustig wil treinen. Denk dus nog een hotelletje regelen. (Psst, GSH2, Eurohotel in Rotterdam en de avond ervoor een biertje, of gaat er niemand van jullie)

Oorspronkelijk geplaatst door getUP

De hosting community day van Microsoft gaat hier ook aandacht aan besteden.



Misschien interessant, is 27 juni.

Ik weet niet hoe Microsoft (indien zij de organisatoren zijn) tegenwoordig om gaat met kritische vragen, maar uit eigen ervaring weet ik uit het verleden (jaartje of 10 geleden) dat je bij dit soort evenementen weggestuurd word als je te scherp aangezette vragen en opmerkingen hebt.