1.Überblick und Umfang
Dieses Sicherheitsausstellungsdokument beschreibt die technischen und organisatorischen Sicherheitsmaßnahmen von BambooHR ("Sicherheitsmaßnahmen"), die zum Schutz von Kundendaten vor unbefugtem Zugriff, Offenlegung, Veränderung und Zerstörung vorgesehen sind. Dieses Dokument ist in die BambooHR-Datenschutzvereinbarung integriert und bildet deren Bestandteil.
BambooHR ist gemäß dem SOC 2 Typ II-Rahmenwerk zertifiziert (AICPA Trust Services Criteria für Sicherheit, Verfügbarkeit und Vertraulichkeit) und unterzieht sich jährlichen Audits durch Dritte, um das Design und die operationale Wirksamkeit dieser Kontrollen zu überprüfen. Kunden können eine Kopie des neuesten SOC 2-Berichts von BambooHR unter NDA anfordern, indem sie unser Sicherheitsteam über unsere Kontaktseite kontaktieren.
2.Infrastruktur- und Netzwerksicherheit
BambooHR' Produktionsinfrastruktur wird in den Vereinigten Staaten bei Amazon Web Services (AWS) gehostet, und die Daten werden in mehrere Verfügbarkeitszonen repliziert, um Redundanz zu gewährleisten. Alle Produktionssysteme befinden sich in einer Virtual Private Cloud (VPC) mit strengen Netzwerkkontrollen. BambooHR setzt Firewalls, Eindringungserkennungssysteme und Web Application Firewalls ein, um unbefugten Zugriff und gängige webbasierte Angriffe zu verhindern.
BambooHR verfolgt einen Verteidigung-in-Tiefe-Ansatz für die Netzwerksicherheit, einschließlich Netzsegmentierung zwischen Produktion, Staging und Entwicklungsumgebungen; automatisierter Schwachstellen-Scanning von Infrastrukturkomponenten; und kontinuierliche Überwachung des Netzwerkverkehrs auf auffällige Aktivitäten.
3.Datensicherheit und Verschlüsselung
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Kundendaten sind logisch von Daten anderer Kunden getrennt durch Anwendungs- und Datenbankkontrollen. BambooHR führt regelmäßige Datenklassifizierungsübungen durch, um geeignete Sicherheitskontrollen auf verschiedene Datenkategorien anzuwenden.
4.Anwendungssicherheit
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Zugriffskontrollen und Authentifizierung
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Kunden können Multi-Faktor-Authentifizierung, Single Sign-On (SSO) und rollenbasierte Zugriffskontrollen (RBAC) innerhalb ihrer BambooHR-Konten konfigurieren. BambooHR unterstützt SAML 2.0-basierte SSO-Integration mit großen Identitätsanbietern wie Okta, Azure AD und Google Workspace.
6.Vorfalls-Erkennung und -Reaktion
BambooHR führt einen dokumentierten Security Incident Response Plan, der Verfahren zur Erkennung, Klassifizierung, Eindämmung, Untersuchung und Wiederherstellung von Sicherheitsvorfällen festlegt. Das Incident-Response-Team umfasst Vertreter aus Sicherheit, Engineering, Rechtsabteilung und Kundensupport.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Geschäftskontinuität und Katastrophenwiederherstellung
BambooHR führt einen Business-Continuity-Plan (BCP) und einen Disaster-Recovery-Plan (DRP), die mindestens jährlich getestet werden. BambooHR strebt eine Wiederherstellungszeit (RTO) von vier (4) Stunden und eine Wiederherstellungspunktziel (RPO) von einer (1) Stunde für seine Kernplattformdienste an.
Kundendaten werden kontinuierlich mit point-in-time-Wiederherstellung und täglichen Snapshots gesichert und für dreißig (30) Tage aufbewahrt. Die Integrität der Backups wird regelmäßig getestet, um sicherzustellen, dass Daten im Notfall wiederhergestellt werden können.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
