1.نظرة عامة ونطاق
تصف هذه المعروضات الأمنية التدابير الفنية والتنظيمية للأمان لدى BambooHR ("إجراءات الأمن") المصممة لحماية بيانات العميل من الدخول غير المصرح به أو الكشف أو التغيير أو التدمير. ويُشكل هذا المعروض جزءاً من اتفاقية معالجة البيانات BambooHR.
BambooHR معتمد بموجب إطار SOC 2 Type II (معايير ثقة الخدمات من AICPA للسلامة والأمان والسرية) ويخضع لهيئات تدقيق طرف ثالث سنوياً للتحقق من تصميم وفعالية هذه الضوابط. قد يطلب العملاء نسخة من أحدث تقارير SOC 2 الخاصة بـ BambooHR بموجب اتفاقية عدم الإفشاء من خلال التواصل مع فريق الأمان لدينا عبر صفحة الاتصال.
2.الأمن على البنية الشبكية والشبكات
تستضاف بنية BambooHR الإنتاجية على Amazon Web Services (AWS) في الولايات المتحدة، مع تكرار البيانات إلى عدة مناطق توافر لضمان الاستمرارية. جميع أنظمة الإنتاج معزولة في شبكة افتراضية خاصة (VPC) مع ضوابط وصول صارمة على الشبكة. وتُطبق لدى BambooHR جدران حماية وأنظمة كشف التسلل وجدران حماية تطبيقات الويب لحماية البيانات من الوصول غير المصرح به والهجمات الشائعة عبر الويب.
تتبنى BambooHR نهج الدفاع في العمق لأمن الشبكات، بما في ذلك تقسيم الشبكات بين بيئات الإنتاج والتجربة والتطوير؛ فحص الثغرات بشكل تلقائي لمكوّنات البنية التحتية؛ ومراقبة مستمرة لحركة المرور الشبكية للكشف عن النشاط غير المعتاد.
3.أمان البيانات والتشفير
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
يتم فصل بيانات العملاء من بيانات عملاء آخرين من خلال ضوابط على مستوى التطبيق وقاعدة البيانات. BambooHR يجري عمليات تصنيف للبيانات بشكل دوري لتحديد وتطبيق الضوابط الأمنية المناسبة لفئات البيانات المختلفة.
4.أمان التطبيقات
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.أدوات التحكم في الوصول والمصادقة
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
يمكن للعملاء تكوين المصادقة متعددة العوامل، وتسجيل الدخول الأحادي (SSO)، والضوابط القائمة على الأدوار (RBAC) داخل حساباتهم في BambooHR. BambooHR يدعم تكامل SSO المستند إلى SAML 2.0 مع مقدمي الهوية الرئيسيين بما في ذلك Okta وAzure AD وGoogle Workspace.
6.الكشف عن الحوادث والاستجابة لها
يحافظ BambooHR على خطة استجابة لحوادث الأمن موثقة تعرف الإجراءات اللازمة لاكتشاف الحوادث الأمنية وتصنيفها واحتواءها والتحقيق فيها والتعافي منها. يشمل فريق الاستجابة للحوادث ممثلين من وظائف الأمن والهندسة والقانون ودعم العملاء.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.استمرارية الأعمال والتعافي من الكوارث
يحافظ BambooHR على خطة استمرارية الأعمال (BCP) وخطة التعافي من الكوارث (DRP) يتم اختبارها على الأقل سنوياً. يهدف BambooHR إلى تحقيق زمن استرداد (RTO) يساوي أربع (4) ساعات وزمن نقطة استرداد (RPO) يساوي ساعة واحدة لخدمات منصته الأساسية.
يتم نسخ بيانات العميل احتياطياً باستمرار باستخدام استعادة في نقطة زمنية ولقطات يومية محتفظ بها لمدة ثلاثين (30) يوماً. يتم اختبار سلامة النسخ الاحتياطي بانتظام لضمان إمكانية استعادة البيانات بنجاح في سيناريو الاسترداد.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
