Juridische vraag: Zijn logbestanden bedrijfsgeheim?
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet
en maak kans op zijn boek "De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Wij zijn een klein hostingbedrijf en wilden onderzoek doen om de performance van de shared servers te verbeteren. De makkelijkste manier leek ons om simpelweg een top10 te maken met de grootste logfiles van de webserver logs, waaronder ook de error_logs met foutmeldingen. Bij één klant bleek die log wel erg groot (enkele gigabytes), en we hebben die doorgekeken om te zien waar dat door kwam. Het bleek een groot aantal (onschuldige) PHP foutmeldingen te zijn. We hebben de klant geinformeerd, met het verzoek om dit recht te zetten. De klant reageerde erg boos: die logfiles zouden bedrijfsgeheim zijn en wij hadden daar nooit in mogen kijken!
Antwoord: Een bedrijf kan claimen dat bepaalde gegevens bedrijfsgeheim zijn, maar essentieel is dan wel dat zij kan bewijzen dat daarvoor geheimhouding wordt betracht. Er moet zeg maar een stempel "GEHEIM" op staan. Ook moeten mensen die met de informatie in contact komen, expliciet op geheimhouding zijn gewezen. Het is dan strafbaar (art. 273 Strafrecht) om die gegevens te verspreiden of publiceren.
Logfiles met foutmeldingen kunnen hier onder vallen, want de wet kent geen beperking op het soort gegevens dat geheim zou kunnen zijn. Maar je hebt wel iets uit te leggen denk ik, zeker als je je beroept op een argument dat in feite neerkomt op security by obscurity. Daar willen rechters nog wel eens doorheen prikken. Maar het zou kunnen dat een lijst met foutmeldingen als bedrijfsgeheim wordt aangemerkt, zodat je die lijst niet zomaar op Geenstijl mag zetten. (Vroeger zei ik altijd "in de krant mag zetten" maar dat lijkt een verouderde uitdrukking.)
De systeembeheerder heeft echter een bijzondere positie. Vanuit zijn werk komt hij in aanraking met allerlei gegevens, en het kan goed gebeuren dat hij bestanden opent waarin bedrijfsgeheimen van klant en staan. Dat mag: art. 273d Strafrecht regelt dat je die mag inzien als het nodig is voor je werk als systeembeheerder. Wel heb je dan een zwijgplicht naar anderen toe. Je mag die lijst nog steeds niet op Geenstijl zetten dus.
Ik zie niet wat dit hostingbedrijf fout heeft gedaan. Onderdeel van hun dienstverlening is te zorgen dat de diensten optimaal werken, en als je daarbij logfiles moet doorzoeken dan kan dat gewoon. Zolang je dus maar je mond houdt naar derden toe over de foutmeldingen. Of je je druk moet maken om een paar gigabytes aan logfiles is een andere vraag, maar die laat ik graag aan jullie over.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Bij één klant bleek die log wel erg groot (enkele gigabytes), en we hebben die doorgekeken om te zien waar dat door kwam. Het bleek een groot aantal (onschuldige) PHP foutmeldingen te zijn. We hebben de klant geinformeerd, met het verzoek om dit recht te zetten.
Maar dan nog zijn logbestanden geen bedrijfsgeheimen.
De vraag is wel wat er met die logbestanden gebeurt. Ik kan me maar zo voorstellen dat de klant niet de autorisatie heeft om de bestanden te analyseren. Als de hostingprovider er niet aan mag komen zou ik zeggen: niets loggen, dat scheelt een boel performance, opslag en zorgen. En dan alleen maar hopen dat er geen incidenten voorkomen die met een slimme analyse van de logging opgelost hadden kunnen worden.
Ik ben niet zo bekend met webhostings bedrijven / servers,
maar logs van een hostingbedrijf kunnen toch nooit onder bedrijfsgeheim vallen van een derde bedrijf?
Het zou jullie niet alleen sieren om dit te melden aan klanten, maar bijvoorbeeld eerst te vragen aan de klant of je mee mag denken om de situatie (ook voor die klant) te verbeteren.
Doe het aub niet in regel 568 van de algemene voorwaarden of FUP, maar neem actief contact op met de klant voordat de logfiles worden doorgespit. Biedt denk ik zelfs een meerwaarde voor een hostingsbedrijf (de systeembeheerder van de gehuurde server wordt daardoor bijvoorbeeld niet op het matje van de grote baas geroepen omdat hij blijkbaar brakke php-code schreef). Daarnaast profiteren de andere klanten die op hetzelfde netwerk zitten ook mee. Er komen immers processorcycles vrij waardoor het netwerk en hardware sneller werken.
Ik vindt het meer een ethisch verhaal dan een strafrechterlijk verhaal.
Het Orakel
Belangrijk hierbij is of de klant een http dienst afneemt waarbij het draaiende houden van de webserver de verantwoording is van de hostingpartij. Dan heeft men in het verlengde van die verantwoordelijkheid logischerwijs ook de toegang tot de bestanden. Indien de klant dat niet wil dient men een volledig OS in eigen beheer te draaien zodat men zelf ook verantwoordelijk is voor de http daemon / web server en de daarbij behorende log files.
Iets van die strekking kan men dan in algemenere vorm opnemen in de voorwaarden zodat dergelijke zaken afgedekt zijn.
My two cents,
Carlo Seddaiu
Ik heb een argument langs zien komen dat de klant gelijk zou hebben boos te zijn, maar ondertussen wordt daarbij wel heel makkelijk vergeten wat voor dienst er wordt afgenomen, wie er dus nog meer afhankelijk zijn en wat het doel is van logfiles en wie die logfiles aan wie verstrekt. Bij een sharde hosting zijn de logfiles onderdeel van de service, geen deel van het door de klant gefabriceerde werk. De rollen vallen dus zelfs om te draaien wat betreft eigendom: de klant laat resultaten van zijn werk in logfiles van de server schrijven. De server is echter geen eigendom van de klant, net zo min als de bestanden die de server aanmaakt en waarvan de inhoud kan worden ingezien door de gebruiker.
Ik zou dat willen nuanceren. In principe zijn dergelijke verkeersgegevens over wie welke pagina's heeft opgevraagd al dan niet in combinatie met wachtwoorden en logins verwerkt in URL's wel degelijk gevoelige informatie. Bijvoorbeeld in het kader van identiteitsdiefstal.
Verder kunnen bepaalde pagina's gevoelige onderwerpen bevatten zoals politieke zaken of bijvoorbeeld informatie over ziektebeelden en dat zijn wel degelijk zaken die niet door jan en alleman gelezen mogen worden. Het zal afhangen van de voorwaarden op de web site wat men de klant beloofd en of er wettelijke beschermingen van toepassing zijn. Maar er is ook nog zoiets als de zorgvuldigheid in het maatschappelijk verkeer. Daar weet jij vast meer over te vertellen. :)
Ciao,
Carlo
http://www.tinyurl.com/strafrechtvragen
In dit geval is het dus ook bedrijfsgeheim, en wel van het hosting bedrijf. Het zijn tenslotte hun servers, hun infrastructuur, etc.
Zij hebben dus ook de verantwoording over het goed functioneren van de servers.
Het was wel netjes geweest om de klant(en) van hun actie te informeren en te vragen of zij er bezwaar tegen hadden.
Maar dat soort dingen kun je dus ook in je voorwaarden opnemen. Is een klant het niet met die voorwaarden eens, dan moet hij maar een andere hosting partij zoeken.
Zou hetzelfde zijn als een klant in een hotel boos word als een schoonmaakster op mijn kamer komt :S.
Die heeft ook gewoon het recht om op die kamer te koemn zoals ik als systeembeheerder recht heb om log files te bekijken om te zorgen dat mijn server draait zoals hoort.
En daarnaast snap ik niet wat er uberhaupt in de log file staat dat zo geheim is :S
En verder: Mijn oma zei altijd: wat je vindt, dat breng je naar de politie.
Wanneer je een server beheert bekijk je van tijd tot tijd logs, en zeker de error logs.
Wanneer je daarin iets dergelijks tegenkomt, dat dus schijnbaar en hele bak aan data oplevert die nergens goed voor is, mag je ook je klant verzoeken dat te fixen. Zoniet zou ik die gebruikte ruimte optellen bij de webspace van de betreffende klant.
Dat je die logs niet publiceert lijkt me niet meer dan logisch, daar heeft een ander niets mee te maken.
Je beheert een systeem en ja, je kunt overal bij, je kunt de mail inzien, gevoelige bestanden bekijken, etcetera. Je mag alleen niets met die informatie doen. Daarnaast vind ik ook nog altijd dat er ook wel een reden moet zijn zoiets in te zien, zomaar rondstruinen in de data van klanten vind ik persoonlijk not done.
Ik denk dat de klant in kwestie dus niet erg heeft begrepen wat je hebt ingezien en waarom. Waarschijnlijk snapt degene die je erover hebt gesproken weinig van het hele technische aspect.
Laat ik dan het volgende aan je vragen. Zijn er soorten gegevens waarvan je in het algemeen kunt zeggen dat deze zo duidelijk bedrijfsgeheim zijn dat je deze niet in de voorwaarden hoeft op te nemen. Of moet je altijd van alle gegevens die je als bedrijfsgeheim wilt bestempelen ervoor zorg dragen dat deze expliciet ergens in de voorwaarden als bedrijfsgeheim benoemt moeten worden?
Ciao,
Carlo
Bij één klant bleek die log wel erg groot (enkele gigabytes), en we hebben die doorgekeken om te zien waar dat door kwam. Het bleek een groot aantal (onschuldige) PHP foutmeldingen te zijn. We hebben de klant geinformeerd, met het verzoek om dit recht te zetten.
Sorry... moest even heel hard lachen om deze opmerking... maar misschien is het wel een logfile van 1 dag ;-)
het type bedrijf bepaald natuurlijk hoe relevant die informatie is. Als die informatie van belang is dan is het dus bedrijfsinformatie die je als vertrouwelijk wilt behandelen. De concurrent zou er immers voordeel uit kunnen behalen.
Het is natuurlijk zo dat als je een patij inschakeld om bepaalde zaken voor je te doen, of dit nou een website hosten is of de boekhouding doen, je als klant altijd mag verwachten dat jou gegevens vertrouwelijk worden behandeld tenzij anders afgesproken is.
Beiden partijen hebben een punt. Zoals eerder al aangegeven is het meer een ethisch verhaal.
Die logs zijn dan namelijk niet van jou, maar van de hoster. Dat die hoster dan misschien nog een logfile aanbied aan je waar enkel zaken over jouw domein te vinden zijn is wat anders, maar in een normale apache acceslog of errorlog staan alle logs van alle domeinen die die server serveert.
Dus hebben niet beide partijen een punt, de hoster heeft gelijk.
De vraag of hardware je eigendom is zegt weinig over de vraag of de informatie op je hardware eveneens je eigendom is. Denk maar aan een constructie waar een klant bedrijf A inhuurt voor de hardware en het OS, en bedrijf B voor het functioneel beheer van de applicatie welke op de server draait. Stel een advocatenkantoor huurt bij jou een shared server, waarbij de daarop draaiende exact loonadministratie software eigendom is van de klant, en waarbij het functioneel beheer is uitbesteed aan een financiele dienstverlener.
Mag jij nu de loonadministratie van jouw klant inzien, met bijbehorende logfiles, omdat jij eigenaar bent van de hardware (en omdat je niets te maken denkt te hebben met de wensen van jouw klant) ? Mij lijkt dat niet het geval. Verder denk ik dat je alles te maken hebt met de wensen van je klanten, zowel door klantvriendelijkheid, als ook door contractuele en wettelijke verplichtingen, en ik zou niet graag zaken doen met iemand die zich zo opstelt tegenover klanten ;)
Wat een gruwelijk kortzichtige opmerking.
Bij één klant bleek die log wel erg groot (enkele gigabytes), en we hebben die doorgekeken om te zien waar dat door kwam. Het bleek een groot aantal (onschuldige) PHP foutmeldingen te zijn. We hebben de klant geinformeerd, met het verzoek om dit recht te zetten.
geroteerde logs kunnen nog steeds groot zijn en opvallen. als hosting bedrijf ben je wel bekend met logrotate lijkt me.
Je trekt het helemaal uit zijn verband met je voorbeelden.
Het gaat om de logbestanden op een shared hosting server.
De naam zegt het al, SHARED. Dat wil zeggen dat je met meerdere klanten op een server staat en enkel de dienst hosting afneemt.
De beheerder beheert die server dan en de logfiles zijn dan gewoon van hem.
Je voorbeelden zijn dus verder totaal niet relevant met de situatie.
De beheerder beheert die server dan en de logfiles zijn dan gewoon van hem.
geroteerde logs kunnen nog steeds groot zijn en opvallen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
