1.نظرة عامة ونطاق
يصف هذا المعرض الأمني إجراءات الأمن الفنية والتنظيمية لـ BambooHR («إجراءات الأمن») المصممة لحماية بيانات العملاء من الوصول غير المصرح به أو الكشف أو التغيير أو التدمير. يدمَج هذا المعرض ويشكل جزءاً من اتفاقية معالجة البيانات BambooHR.
تم اعتماد BambooHR تحت إطار SOC 2 Type II (معايير ثقة AICPA للأمن والتوافر والسرية) وتخضع لمدققين من طرف ثالث سنوياً للتحقق من تصميم وفعالية هذه الضوابط. يجوز للعملاء طلب نسخة من أحدث تقرير SOC 2 لـ BambooHR بموجب NDA من خلال التواصل مع فريق الأمن لدينا عبر صفحة الاتصال.
2.أمن البنية والشبكة
تستضيف بنية BambooHR الإنتاجية بنية Amazon Web Services (AWS) في الولايات المتحدة، مع تكرار البيانات إلى عدة مناطق توافر من أجل التكرارية. جميع أنظمة الإنتاج محصورة في سحابة افتراضية خاصة (VPC) مع ضوابط وصول صارمة. تستخدم BambooHR جدران نارية وأنظمة اكتشاف اختراق وجدران حماية تطبيقات الويب للحماية من الوصول غير المصرح به والهجمات الشائعة على الويب.
يطبق BambooHR نهج الدفاع في العمق لأمن الشبكة، بما في ذلك تقسيم الشبكة بين بيئات الإنتاج والتجهيز والتطوير؛ فحص الثغرات الآلي لمكونات البنية التحتية؛ ومراقبة مستمرة لحركة الشبكة للكشف عن نشاط شاذ.
3.أمن البيانات والتشفير
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
يتم فصل بيانات العملاء بشكل منطقي عن بيانات عملاء آخرين من خلال ضوابط على مستوى التطبيق وقاعدة البيانات. يجري BambooHR أنشطة تصنيف البيانات بشكل منتظم لتحديد وتطبيق الضوابط الأمنية المناسبة لفئات البيانات المختلفة.
4.أمن التطبيقات
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.ضوابط الوصول والمصادقة
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
يمكن للعملاء تكوين المصادقة متعددة العوامل، وتسجيل الدخول الأحادي (SSO)، وضوابط الوصول بناءً على الدور (RBAC) داخل حساباتهم في BambooHR. يدعم BambooHR تكامل SAML 2.0 المستند إلى SSO مع مزودي الهوية الرئيسيين مثل Okta وAzure AD وGoogle Workspace.
6.كشف الحوادث والاستجابة
تحافظ BambooHR على خطة استجابة للحوادث الأمنية موثقة تعرف إجراءات الكشف والتصنيف والاحتواء والتحقيق والتعافي من الحوادث الأمنية. فريق الاستجابة للحوادث يضم ممثلين من الأمن والهندسة والشؤون القانونية ودعم العملاء.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.استمرارية الأعمال والتعافي من الكوارث
تحتفظ BambooHR بخطة استمرارية الأعمال (BCP) وخطة تعافي من الكوارث (DRP) يتم اختبارهما على الأقل سنوياً. تستهدف BambooHR هدف وقت الاستعادة (RTO) مقداره أربع ساعات (4) وهدف نقطة استعادة البيانات (RPO) مقداره ساعة واحدة (1) لخدمات المنصة الأساسية.
يتم نسخ احتياطي لبيانات العملاء باستمرار باستخدام استعادة بنهج اللحظة وتخزين لقطات يومية لمدة ثلاثين (30) يوماً. يتم اختبار سلامة النسخ الاحتياطي بشكل منتظم لضمان إمكانية استعادة البيانات في سيناريو استعادة.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
