Shared hosting e spazio disco

[Alex]

Mi chiedevo ... nelle offerte di shared hosting che si trovano lo spazio complessivo comprende o esclude i log?
Se io dovessi prendere uno spazio come farei a stimare le mie necessità in caso questi siano compresi? Ammesso che si possa anche stimarla come è possibile farlo senza sapere il loglevel del server?

[Shazan]

Di solito lo spazio comprende i log se puoi gestirli autonomamente.
In questo caso puoi ruotarli, eliminarli, etc.

[Alex]

Di solito lo spazio comprende i log se puoi gestirli autonomamente.
In questo caso puoi ruotarli, eliminarli, etc.

ecco ma per legge il provider è tenuto a conservare i log per 12 mesi ... quindi deve essere il provider a gestire il log

[Shazan]

A quale legge ti riferisci? Se è quella che penso io, si riferisce ai log del traffico dei provider di connessione ad Internet che devono conservarli per 2 anni.

[Alex]

A quale legge ti riferisci? Se è quella che penso io, si riferisce ai log del traffico dei provider di connessione ad Internet che devono conservarli per 2 anni.

certo la nota sulla legge perchè non ricordo

[Shazan]

Ma parla dei log del traffico Internet, non del webserver.... e si riferisce ai fornitori di connettività, non agli hosting provider.

In ogni caso se deleghi la gestione dei log al cliente, diventerebbe responsabilità sua conservarli, ammesso che esista un obbligo in tal senso.

[GrG]

perchè, volete dire che non c'è nessun obbligo per il provider di conservare gli access log di apache?

[Derevko]

perchè, volete dire che non c'è nessun obbligo per il provider di conservare gli access log di apache?

Bella domanda... Per come la vedo io i vari documenti non sono per niente chiari, e giustamente favoriscono lo "scarica barile" (non mi riguarda, non sono un provider ecc.)

Il documento più recente (è da poco terminata una "consultazione") è questo http://www.garanteprivacy.it/garante/doc.jsp?ID=1442463

Posto quanto sopra, si ritiene siano tenuti alla conservazione dei dati ai sensi dell'art. 132 cit., i soggetti che realizzano esclusivamente o prevalentemente una trasmissione di segnali su reti di comunicazioni elettroniche, a prescindere dall'assetto proprietario della rete e che offrono servizi a utenti finali secondo il principio di non discriminazione (cfr. direttiva 2002/22/CE del Parlamento europeo e del Consiglio relativa al servizio universale e ai diritti degli utenti in materia di reti e di servizi di comunicazione elettronica e d. lg. n. 259/2003, Codice delle comunicazioni elettroniche).

Da questa frase tu sapresti includere o escludere i fornitori di hosting?

[andrea.paiola]

perchè, volete dire che non c'è nessun obbligo per il provider di conservare gli access log di apache?

non penso proprio... in realtà potrebbero anche non esistere, non essere stati neanche creati

il problema è semplicemente collegare ip ( visto che sono variabili ) e indirizzo della persona collegata, per poter risalire alle attività di una data connessione

ovviamente è solo una mia opinione

[Alex]

Bella domanda... Per come la vedo io i vari documenti non sono per niente chiari, e giustamente favoriscono lo "scarica barile" (non mi riguarda, non sono un provider ecc.)

Il documento più recente (è da poco terminata una "consultazione") è questo http://www.garanteprivacy.it/garante/doc.jsp?ID=1442463





Da questa frase tu sapresti includere o escludere i fornitori di hosting?

io credo che si includano nel logging tutti i servizi che si interfacciano alla rete, quindi apache, mysql (a meno che non sia bindato su localhost), ecc
Quindi nei servizi shared tale gestione non è delegabile al cliente a mio avviso ... perchè se il cliente dice che per problemi di spazio taglia i log quotidianamente e magari gli bucano il sito e montano una webshell dalla quale fan casino in giro per la rete poi i log non si trovano e rimane solo il fatto che l'ip del server è quello che ha fatto casini ...

[Shazan]

Si presume che il server sia dotato di connettività. La connettività la fornisce l'ISP, il quale senza dubbio ha l'obbligo di avere i log del traffico che transita presso il proprio network. E' lui che deve fornire queste informazioni a mio avviso, ammesso che logghi le informazioni di interesse per il caso.

Secondo il tuo principio Alex non potremmo fornire server dedicati unmanaged perchè l'unico modo per avere quei log sarebbe l'intrusione... mi pare assurdo onestamente.

Edito per aggiungere che il fornitore di hosting ha l'obbligo di fornire tutte le informazioni in suo possesso utili all'individuazione del responsabile di un reato (dietro presentazione di un apposito decreto naturalmente), anche tramite i log, ma che abbia l'obbligo di conservarli non si ricava esplicitamente da nessuna parte.

La verità è che chi e cosa si debba loggare non lo sa bene neanche il legislatore...

[Alex]

Si presume che il server sia dotato di connettività. La connettività la fornisce l'ISP, il quale senza dubbio ha l'obbligo di avere i log del traffico che transita presso il proprio network. E' lui che deve fornire queste informazioni a mio avviso, ammesso che logghi le informazioni di interesse per il caso.

Secondo il tuo principio Alex non potremmo fornire server dedicati unmanaged perchè l'unico modo per avere quei log sarebbe l'intrusione... mi pare assurdo onestamente.

Edito per aggiungere che il fornitore di hosting ha l'obbligo di fornire tutte le informazioni in suo possesso utili all'individuazione del responsabile di un reato (dietro presentazione di un apposito decreto naturalmente), anche tramite i log, ma che abbia l'obbligo di conservarli non si ricava esplicitamente da nessuna parte.

La verità è che chi e cosa si debba loggare non lo sa bene neanche il legislatore...

non è così perchè il contratto del server dedicato prevede l'assunzione di responsabilità da parte del cliente e quindi il cliente diventa responsabile dello storage dei log della sua macchina a noleggio.

[Shazan]

Mi sembra che stai confondendo le responsabilità con un obbligo giuridico ben preciso.
Se fornisci un dedicato, non è che il cliente diventa un provider... dov'è l'obbligo giuridico che impone a chi ha un dedicato di conservare i log? Puoi indicarmi la legge che lo prevede?

[andrea.paiola]

Si presume che il server sia dotato di connettività. La connettività la fornisce l'ISP, il quale senza dubbio ha l'obbligo di avere i log del traffico che transita presso il proprio network. E' lui che deve fornire queste informazioni a mio avviso, ammesso che logghi le informazioni di interesse per il caso.

esatto: l'ISP ha l'obbligo per legge di avere le informazioni

gli hoster non hanno alcun obbligo, non solo di conservarle, ma anche di registarle

[Derevko]

io credo che si includano nel logging tutti i servizi che si interfacciano alla rete, quindi apache, mysql (a meno che non sia bindato su localhost), ecc
Quindi nei servizi shared tale gestione non è delegabile al cliente a mio avviso ... perchè se il cliente dice che per problemi di spazio taglia i log quotidianamente e magari gli bucano il sito e montano una webshell dalla quale fan casino in giro per la rete poi i log non si trovano e rimane solo il fatto che l'ip del server è quello che ha fatto casini ...

Non è così scontato secondo me. La norma parla di "accesso alla rete internet", che dice niente e tutto, e "posta elettronica"


Un dettaglio significativo è addirittura l'uso del condizionale quando si precisa chi *NON* è soggetto al provvedimento:

Al contrario, potrebbero non rientrare nell'ambito applicativo del provvedimento:

• i soggetti che offrono servizi di comunicazione elettronica a gruppi delimitati di persone (come, a titolo esemplificativo, i soggetti pubblici o privati che consentono soltanto a propri dipendenti e collaboratori di effettuare comunicazioni telefoniche o telematiche);
• i soggetti che, pur offrendo servizi di comunicazione elettronica accessibili al pubblico, non generano o trattano direttamente i relativi dati di traffico (9), ma che dovranno conservare direttamente un'idonea documentazione attestante che la conservazione effettuata per loro conto presso terzi sia svolta in conformità a quanto previsto nel provvedimento medesimo;
• i titolari e i gestori di esercizi pubblici o di circoli privati di qualsiasi specie, che si limitino a porre a disposizione del pubblico, dei clienti o dei soci apparecchi terminali utilizzabili per le comunicazioni, anche telematiche, ovvero punti di accesso ad Internet utilizzando tecnologia senza fili, esclusi i telefoni pubblici a pagamento abilitati esclusivamente alla telefonia vocale (10);
• i gestori dei siti Internet che diffondono contenuti sulla rete (c.d. "content provider" ); i dati relativi a tale traffico degli utenti che accedono a questi siti sono infatti qualificabili come "contenuti", esclusi espressamente dall'obbligo di conservazione dall'art. 132 del Codice (11);
• i gestori di motori di ricerca; i dati di traffico telematico che essi trattano, consentendo di effettuare agevolmente il tracciamento delle operazioni compiute dall'utente in rete, sono infatti parimenti qualificabili alla stregua di "contenuti".