Infrastruktur
- Hosting: zertifizierte Cloud-Anbieter, die ISO/IEC 27001, SOC 2 Typ II und äquivalente konforme Rechenzentren betreiben, mit der EWR-Region als Standard.
- Verschlüsselung während der Übertragung: Der gesamte Traffic verwendet TLS 1.2 oder höher mit modernen Cipher Suites; HSTS wird an Web-Endpunkten erzwungen.
- Verschlüsselung im Ruhezustand: Kundendaten, Backups und Snapshots werden mit AES-256 verschlüsselt.
- Netzwerkisolation: private Vernetzung, Sicherheitsgruppen und Least-Privilege-Ausgangsregeln zwischen den Tiers.
Zugriffskontrolle
- Authentifizierung: Benutzerbezogene Konten mit strenger Passwortrichtlinie und Unterstützung für SSO über OAuth/SAML bei Enterprise-Plänen.
- MFA: Multi-Faktor-Authentifizierung für alle Benutzer verfügbar; für administrative Rollen obligatorisch.
- RBAC: granulare rollenbasierte Zugriffskontrolle auf Organisations-, Projekt- und Arbeitsbereichsebene.
- Geringstes Privileg: der interne Zugriff auf die Produktion ist auf eine kleine, geprüfte Gruppe von Ingenieuren beschränkt und durch MFA + Genehmigung gesichert.
Datenschutz
- Mandantentrennung: Kundendaten sind logisch isoliert pro Organisation und pro Projekt.
- Backups: automatisierte, verschlüsselte Backups mit definiertem RPO und RTO; regelmäßige Wiederherstellungstests.
- Aufbewahrung & Löschung: Daten werden gemäß dem Abonnementvertrag aufbewahrt; sichere Löschung erfolgt nach Kontoschließung innerhalb des vertraglichen Zeitraums.
Compliance
- DSGVO-konforme Verarbeitung; LGPD wo zutreffend.
- Datenverarbeitungsvereinbarungen auf Anfrage erhältlich, einschließlich Standardvertragsklauseln (SCCs) für internationale Übertragungen.
- Lieferantenprogramm: Subunternehmer werden vor der Aufnahme auf Sicherheit und Datenschutz überprüft.
- ISO/IEC 27001 Zertifizierung auf Roadmap.
Anwendungssicherheit
- Sicherer SDLC: Code-Review bei jeder Änderung, automatisierte Tests und CI/CD mit erforderlichen Prüfungen vor der Bereitstellung.
- Abhängigkeitsmanagement: Automatischer Schwachstellen-Scan von Abhängigkeiten und Container-Images.
- Geheimnisverwaltung: Zugangsdaten und Schlüssel werden in dedizierten Geheimnis-Speichern abgelegt, niemals in der Quellcodeverwaltung.
- Penetrationstests: Unabhängige Tests durch Dritte, die regelmäßig durchgeführt werden; Ergebnisse werden bis zur Behebung verfolgt.
- Offenlegung von Schwachstellen: Verantwortungsvolle Offenlegung wird gefördert unter security@bimworkplace.com.
Überwachung & Incident Response
- Zentrale Protokollierung und Überwachung über Anwendung, Infrastruktur und Identität hinweg.
- 24/7-Alarmierung für Sicherheits- und Verfügbarkeitsereignisse.
- Dokumentierte Incident-Response-Runbooks mit definierten Schweregraden und Kommunikationswegen.
- Kundeninformation über bestätigte Verstöße gegen den Schutz personenbezogener Daten unverzüglich und innerhalb von 72 Stunden, wie von der DSGVO gefordert.
Geschäftskontinuität
- Multi-AZ-Architektur für Kerndienste mit automatisiertem Failover, wo zutreffend.
- Dokumentierter Notfallwiederherstellungsplan, regelmäßig getestet.
- 99,9 % monatliche Verfügbarkeit, wie im Abonnementvertrag definiert.
Kundenpflichten
- Verwenden Sie starke, eindeutige Passwörter und aktivieren Sie MFA.
- Verwalten Sie die Benutzerbereitstellung, Rollen und das Offboarding umgehend.
- Das Hochladen von Daten, die gegen die Richtlinie zur zulässigen Nutzung verstoßen, ist untersagt.
- Melden Sie vermutete Sicherheitsprobleme unverzüglich an BIMWorkplace.
Kontakt
Sicherheitsfragen, Schwachstellenberichte oder DPA-Anfragen: security@bimworkplace.com