1.סקירה וגדר
תרשים אבטחה זה מתאר את המדיניות והמדיניות האבטחה הטכנית והארגונית של BambooHR (ה"מדיניות האבטחה") designed להגן על נתוני הלקוח מפני גישה בלתי מורשית, חשיפה, שינוי והשמדה. תרשים זה מוצמד כחלק מההסכם לעיבוד נתונים של BambooHR.
BambooHR מוסמך תחת מסגרת SOC 2 Type II (קריטריוני שירותי אמון של AICPA לבטיחות, זמינות וסודיות) ועובר ביקורות שניות מדי שנה כדי לאשר את תכנון ויעילות פונקציות בקרת אלה. יתכן ויידרש לדרש עותק מהדוח SOC 2 העדכני ביותר של BambooHR תחת NDA על-ידי פניה לצוות האבטחה דרך דף יצירת הקשר.
2.אבטחה תשתית ורשת
התשתית הייצורית של BambooHR מאוחסנת ב-Amazon Web Services (AWS) בארצות הברית, כאשר נתונים משוכפלים למספר איזורי זמינות לשם כפילות. כל מערכות הייצור מבודדות ב-Virtual Private Cloud (VPC) עם בקרות גישה קפדניות לרשת. BambooHR משתמשת בחומות אש, מערכות זיהוי חדירה וחומות אש יישומי אינטרנט כדי להגן מפני גישה בלתי מורשית ועל מתקפות אינטרנט נפוצות.
BambooHR נוקטת בגישת הגנה מרובת שכבות לביטחון רשת, כולל הפרדת רשת בין סביבות ייצור, בדיקות פגיעות אוטומטיות של רכיבי תשתית; וניטור רציף של תנועת הרשת לפעילות חריגה.
3.אבטחת נתונים והצפנה
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
נתוני הלקוח מנותקים לוגית מנתוני לקוחות אחרים באמצעות בקרות ברמת יישום ובסיס נתונים. BambooHR מבצעת תרגולים לסיווג נתונים על בסיס קבוע כדי לזהות וליישם בקרות אבטחה מתאימות לקטגוריות נתונים שונות.
4.אבטחת יישומים
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.בקרות גישה וא authentication
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
לקוחות יכוליםCONFIG multi-factor authentication, single sign-on (SSO), ו-controls גישה מבוססי תפקידים (RBAC) within their BambooHR accounts. BambooHR supports SAML 2.0-based SSO integration with major identity providers including Okta, Azure AD, and Google Workspace.
6.זיהוי תקריות ותגובה
BambooHR מתחזק תוכנית תגובה מאושרת על אירועי אבטחה שמגדירה את הנהלים לזיהוי, סיווג, הבהרה, חקירה והחלמה מאירועי אבטחה. צוות התגובה לאירועים כולל נציגים מתחומי האבטחה, ההנדסה, המשפט ותמיכת הלקוחות.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.המשכיות עסקית ושחזור מאסון
BambooHR מתחזק תוכנית המשכיות עסקית (BCP) ותוכנית התאוששות מאסונות (DRP) שנבדקות לפחות פעם בשנה. BambooHR מכוון זמנים להשבת עבודה (RTO) של ארבע (4) שעות וזמן השבתה (RPO) של שעה אחת עבור שירותי הפלטפורמה הליבה שלו.
נתוני הלקוח מגובים באופן רציף באמצעות שחזור בזמן נקודתי וצילומי מצב יומי שנשמרים ל-30 ימים. שלמות הגיבוי נבדקת באופן קבוע כדי להבטיח שניתן לשחזר את הנתונים בהצלחה במתארי שחזור.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
