Enterprise-Sicherheit & Architekturprotokoll: CISO-Whitepaper
Technisches Protokoll zur klaren Differenzierung von Sovereign-AI-Kundenbereitstellungsoptionen und dem regulären Betrieb der öffentlichen Website, einschließlich algorithmischer Kapselungsmodelle, Standardausrichtung und Edge-Schutzmaßnahmen.
Architektur-Geltungsbereich & Zwei-Zonen-Modell
Air-Gapped On-Premise Ausführungstopologie für Enterprise-Kunden. Konfigurierbar für den Einsatz im Unternehmens-LAN oder einer isolierten privaten VPC des Kunden. Die Architektur unterstützt lokale LLMs, lokale Skriptausführung und Revit C#-Plugins, die darauf ausgelegt sind, ohne Datenübertragung an öffentliche KI-APIs zu arbeiten.
Gehostet auf der serverlosen Edge-Architektur von Cloudflare Workers. Öffentliche Endpunkte nutzen Cloudflare Turnstile zur datenschutzfreundlichen Bot-Abwehr und Resend für transaktionale E-Mail-Benachrichtigungen (Kontaktanfragen und ROI-Lead-Mitteilungen).
1. Netzwerk-Isolationsarchitektur (Zone 1 Fähigkeit)
Zone 1 Air-Gapped Ausführungstopologie: Konzeptionelle Architektur zur kundeninternen Kapselung von BIM-Geometrien und algorithmischen Abläufen innerhalb des Unternehmens-LAN-Perimeters.
2. Standards & Technische Ausrichtungsmatrix
| Framework / Standard | Sicherheitsziel | Technische pyBIM-Umsetzungsfähigkeit |
|---|---|---|
| ISO 19650-5 (Grundsätze der Informationssicherheit) | Verhinderung von Metadaten-Lecks & Modellsicherheit | Konzipiert für Offline-LLM-Bereitstellung und lokalisierte Modellausführung auf kundenkontrollierter Infrastruktur oder verschlüsselten CDEs. |
| UNI 11337 (Digitales Management) | Souveränes BIM-Datenmanagement | Automatisierungsskripte, die direkt auf lokalen Revit-Dateien ohne Cloud-Geometrie-Extraktion ausgeführt werden können. |
| DSGVO (Grundsätze Verordnung EU 2016/679) | Datenminimierung & lokale Datenspeicherung | Souveräne Knoten arbeiten in isolierten Netzwerken. Die öffentliche Website erfasst minimale Daten mit offengelegten Speicherfristen. |
| Bilaterale NDAs & Vertraulichkeit | Projektdatenschutz & CDE-Integrität | Revit-Modelle und IFC-Dateien werden über vereinbarte CDE-Kanäle verwaltet, geregelt durch bilaterale Geheimhaltungsverträge. |
3. Sovereign-AI-Datenverwahrungsarchitektur
HINWEIS ZU SOVEREIGN-AI-KUNDENBEREITSTELLUNGEN
"Bei Sovereign-Edge-AI-Bereitstellungen für Kunden sind die pyBIM-Architekturen so konzipiert, dass Telemetriedienste entfallen. In dieser Betriebsart verbleiben proprietäre BIM-Geometrien, Parameter und algorithmische Logik innerhalb der Firewall des Kunden und werden nicht an öffentliche KI-APIs Dritter übertragen."
LEBENSZYKLUS FLÜCHTIGER SPEICHERDATEN (ZONE 1 FÄHIGKEIT)
Einbettungen und intermediäre Berechnungsvektoren der RAG-Pipeline werden im flüchtigen Speicher gehalten und nach Skriptabschluss verworfen. Der dauerhafte Zustand verbleibt unter der Aufsicht der Common Data Environment (CDE) des Kunden.
4. Sicherheitstechnik & Infrastrukturprotokolle
GPU-VPS-Bereich (Private Plugins)
- Unterstützung für Laufwerks-VerschlüsselungUnterstützt AES-256 Ruhedaten-Verschlüsselung und Secure Boot auf kundenbezogenen privaten VPS-Instanzen.
- Sichere NetzwerktunnelKonfigurierbar für administrativen Zugriff über authentifizierte WireGuard- oder Tailscale-Tunnel unter Verwurf unauthentifizierter Pakete.
Edge-Appliance-Bereich (Sovereign AI)
- Gehärtete OS-ArchitekturUnterstützt gehärtete Linux-Distributionen mit verpflichtenden Zugriffskontrollen wie AppArmor oder SELinux.
- Hardware-IsolationsoptionKann auf dedizierter Headless-Hardware mit auf BIOS-Ebene deaktivierten I/O-Schnittstellen bereitgestellt werden, sofern vom Kunden gefordert.
Öffentlicher Web-Bereich (Cloudflare & Edge)
- Edge-Bereitstellung & TurnstileÖffentliche Website weltweit über Cloudflare Workers bereitgestellt. Cloudflare Turnstile bietet Bot-Schutz ohne Werbe-Cookies.
- Transaktionale E-Mails (Resend)Übermittlung von Kontaktanfragen und ROI-Lead-Mitteilungen über TLS-verschlüsselte Schnittstellen von Resend mit Datenvalidierung.