1.Áttekintés és hordozó terjedelem
Ez a Biztonsági kiadvány leírja BambooHR technikai és szervezési biztonsági intézkedéseit („Biztonsági intézkedések”), melyek célja az Ügyfél-Adatok jogtalan hozzáférés, közzététel, módosítás és megsemmisítés elleni védelme. Ez a kiadvány beépítésre kerül és részét képezi a BambooHR Datalfeldolgozási Megállapodásnak.
BambooHR a SOC 2 Type II keretrendszer alapján tanúsított (AICPA Trust Services Criteria a Biztonság, Elérhetőség és Bizalmaság terén), és évente független harmadik fél auditon esik át ezeknek az ellenőrzéseknek a tervezésében és működési hatékonyságában. Az ügyfelek NDA keretében kérhetnek példányt a BambooHR legutóbbi SOC 2 jelentéséről úgy, hogy biztonsági csapatunkhoz fordulnak a kapcsolatfelvételi oldalunkon.
2.Infrastruktúra és hálózati biztonság
BambooHR termelési infrastruktúrája az Egyesült Államokban, az Amazon Web Services (AWS) által kerül kiszolgálásra, adatok több rendelkezésre állási zónába való replikálásával a redundancia érdekében. Minden termelési rendszer Virtual Private Cloud (VPC) környezetben van elkülönítve szigorú hálózati hozzáférési szabályokkal. BambooHR tűzfalakat, behatolás-észlelő rendszereket és webes alkalmazás-tűzfalakat alkalmaz a jogosulatlan hozzáférés és gyakori web-alapú támadások elleni védelem érdekében.
BambooHR mélyebb védelmet alkalmaz a hálózati biztonság területén, beleértve a hálózati szegmentálást a termelési, előkészítő és fejlesztési környezetek között; automatizált sebezhetőségi vizsgálatot az infrastruktúra összetevőin; valamint a hálózati forgalom folyamatos monitorozását szokatlan aktivitás esetén.
3.Adatbiztonság és titkosítás
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Az Ügyfél adatait logikai elkülönítésben kezelik más ügyfelek adataitól alkalmazási- és adatbázis-szinten megvalósított ellenőrzésekkel. BambooHR rendszeresen adatminőségi gyakorlatokat végez, hogy megállapítsa és alkalmazza a megfelelő biztonsági intézkedéseket különböző adatkategóriákhoz.
4.Alkalmazásbiztonság
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Hozzáférés-szabályok és hitelesítés
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Az ügyfelek konfigurálhatják a többtényezős hitelesítést, a bejelentkezés egyetlen felhasználói azonosítóval (SSO), és a szerepköralapú hozzáférés-szabályokat (RBAC) a BambooHR fiókjaikban. BambooHR támogatja a SAML 2.0-alapú SSO integrációt a fő identitás-szolgáltatókkal, többek között Okta, Azure AD és Google Workspace.
6.Incidens észlelése és válaszreakció
A BambooHR dokumentált Biztonsági Incidens Választervet tart karban, amely meghatározza a biztonsági incidensek észlelésének, osztályozásának, tartósságának, kivizsgálásának és helyreállításának eljárásait. Az incidenskezelő csapat tagjai a biztonsági, mérnöki, jogi és ügyfélszolgálati funkciók képviselőiből állnak.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Üzleti folytonosság és katasztrófa-helyreállítás
A BambooHR fenntart egy Üzletmenet-folytonossági tervet (BCP) és egy Katasztrófa-helyreállítási tervet (DRP), amelyeket évente legalább egyszer kiértékelik. BambooHR négy (4) órás helyreállítási célt (RTO) és egy órás helyreállítási pontcélt (RPO) határoz meg a központi platform-szolgáltatásaihoz.
Az ügyfél adatait folyamatosan biztonsági másolatként mentjük a pont-pillanatnyi helyreállítással és napi pillanatfelvételekkel, amelyeket harminc (30) napig őrzünk. A mentések integritását rendszeresen ellenőrizzük annak biztosítására, hogy az adatok helyreállíthatók legyenek egy helyreállítási szituációban.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
