1.Yhteenveto ja Soveltamisala
Tämä Turvaseloste kuvaa BambooHR:n tekniset ja organisatoriset turvallisuustoimenpiteet ("Turvallisuustoimenpiteet"), joiden tarkoituksena on suojata Asiakastietoja luvattomalta pääsyltä, paljastumiselta, muuttumiselta ja tuhoutumiselta. Tämä Seloste on otettu osaksi ja muodostaa osan BambooHR Data Processing Agreementia.
BambooHR on SOC 2 Type II -yhteensopiva (AICPA Trust Services Criteria for Security, Availability, and Confidentiality) ja sen turvatoimet käyvät säännöllisesti kolmannen osapuolen auditoinneissa todentamassa kontrollien suunnittelua ja toiminnan tehokkuutta. Asiakkaat voivat NDA:n alaisuudessa pyytää BambooHR:n viimeisintä SOC 2 -raporttia kopion pyytämällä turvallisuustiimiltämme yhteyssivustomme kautta.
2.Infrastruktuuri ja Verkkoturvallisuus
BambooHR:n tuotantoinfrastruktuuri isännöidään Amazon Web Servicesin (AWS) päällä Yhdysvalloissa, ja data replikoidaan useisiin käytettävyysoikeuksiin redundanssin vuoksi. Kaikki tuotantojärjestelmät ovat eristetty VPC-ympäristöön (Virtual Private Cloud) tiukkojen verkko-oikeuksien kanssa. BambooHR käyttää palomuureja, tunkeutumisen havaitsemisen järjestelmiä ja verkkosovellusten palomuureja suojaamaan luvattomalta pääsyltä ja yleisiltä verkkohyökkäyksiltä.
BambooHR käyttää syvä-/monitasoista verkon turva-arkkitehtuuria, mukaan lukien tuotanto-, välivarasto- ja kehitysympäristöjen verkkoerottelu; automaattinen haavoittuvuuksien skannaus infrastruktuurikomponenttien osalta; sekä jatkuva verkon liikenteen seuranta poikkeuksellisen toiminnan varalta.
3.Tietoturva ja Sala-us
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Asiakastiedot ovat loogisesti erillään muista asiakkaista sovellus- ja tietokantatasoisten kontrollien avulla. BambooHR suorittaa säännöllisiä tietojen luokitteluharjoituksia tunnistaakseen ja soveltaakseen asianmukaisia turvatoimia eri tietokategorioille.
4.Sovellus-Turvallisuus
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Pääsynhallinta ja Todennus
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Asiakkaat voivat asettaa monivaiheisen todennuksen, kirjautumisnin yhden sisään (SSO), sekä roolipohjaiset käyttöoikeudet (RBAC) omiin BambooHR-tiliinsä. BambooHR tukee SAML 2.0 -perusteista SSO -integraatiota suurten identiteettitoimijoiden, kuten Okta, Azure AD ja Google Workspace, kanssa.
6.Tapahtumien Havaitseminen ja Reagointi
BambooHR ylläpitää dokumentoitua Turvallisuustapahtumaan reagoinnin suunnitelmaa, joka määrittelee menettelytavat havaita, luokitella, rajoittaa, tutkia ja palautua turvallisuustilanteista. Tapahtumien reagointitiimi koostuu turvallisuus-, insinööri-, oikeus- ja asiakastukitoiminnoista.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Liiketoiminnan jatkuvuus ja katastrofaalisen palautumisen hallinta
BambooHR ylläpitää liiketoiminnan jatkuvuussuunnitelmaa (BCP) ja katastrofaalisen palautumisen suunnitelmaa (DRP), joita testataan vähintään vuosittain. BambooHR tavoittelee palautumisaikaa (RTO) neljä (4) tuntia ja palautumispistettä (RPO) yhden (1) tunnin core-alustan palveluille.
Asiakastietoja varmuuskopioidaan jatkuvasti pisteen palautuksella ja päivittäisillä hetkugalluilla, joita säilytetään kolmekymmentä (30) päivää. Varmuuskopioiden eheys testataan säännöllisesti varmistamaan, että tiedot voidaan palauttaa palautustilanteessa.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
