1.Gambaran Umum dan Lingkup
Eksibit Keamanan ini menjelaskan langkah-langkah keamanan teknis dan organisasi BambooHR's ("Langkah Keamanan") yang dirancang untuk melindungi Data Pelanggan dari akses tidak sah, pengungkapan, perubahan, dan penghancuran. Eksibit ini dimasukkan ke dalam dan membentuk bagian dari Perjanjian Pemrosesan Data BambooHR.
BambooHR telah tersertifikasi di bawah kerangka SOC 2 Type II (Kriteria Layanan Kepercayaan AICPA untuk Keamanan, Ketersediaan, dan Kerahasiaan) dan menjalani audit pihak ketiga setiap tahun untuk memverifikasi desain dan efektivitas operasional kontrol ini. Pelanggan dapat meminta salinan laporan SOC 2 terbaru BambooHR di bawah NDA dengan menghubungi tim keamanan kami melalui halaman kontak kami.
2.Keamanan Infrastruktur dan Jaringan
Infrastruktur produksi BambooHR dihosting di Amazon Web Services (AWS) di Amerika Serikat, dengan data direplikasi ke beberapa zona ketersediaan untuk keberulangan. Semua sistem produksi terisolasi dalam Virtual Private Cloud (VPC) dengan kontrol akses jaringan yang ketat. BambooHR menggunakan firewall, sistem deteksi intrusi, dan firewall aplikasi web untuk melindungi dari akses tidak sah dan serangan berbasis web umum.
BambooHR mengadopsi pendekatan defense-in-depth untuk keamanan jaringan, termasuk segmentasi jaringan antara lingkungan produksi, staging, dan pengembangan; pemindaian kerentanan otomatis terhadap komponen infrastruktur; dan pemantauan berkelanjutan lalu lintas jaringan untuk aktivitas anomali.
3.Keamanan Data dan Enkripsi
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Data Pelanggan dipisahkan secara logis dari data milik pelanggan lain melalui kontrol tingkat aplikasi dan database. BambooHR melakukan latihan klasifikasi data secara teratur untuk mengidentifikasi dan menerapkan kontrol keamanan yang tepat pada berbagai kategori data.
4.Keamanan Aplikasi
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Kontrol Akses dan Otentikasi
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Pelanggan dapat mengonfigurasi autentikasi multi-faktor, single sign-on (SSO), dan kontrol akses berbasis peran (RBAC) dalam akun BambooHR mereka. BambooHR mendukung integrasi SSO berbasis SAML 2.0 dengan penyedia identitas utama termasuk Okta, Azure AD, dan Google Workspace.
6.Deteksi dan Respons Insiden
BambooHR mempertahankan Rencana Respons Insiden Keamanan yang terdokumentasi yang mendefinisikan prosedur untuk mendeteksi, mengklasifikasikan, menahan, menyelidiki, dan pulih dari insiden keamanan. Tim respons insiden mencakup perwakilan dari fungsi keamanan, rekayasa, hukum, dan dukungan pelanggan.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Kehidupan Usaha dan Pemulihan Bencana
BambooHR mempertahankan Rencana Kelangsungan Bisnis (BCP) dan Rencana Pemulihan Bencana (DRP) yang diuji setidaknya setiap tahun. BambooHR menargetkan Recovery Time Objective (RTO) empat (4) jam dan Recovery Point Objective (RPO) satu (1) jam untuk layanan inti platformnya.
Data Pelanggan dicadangkan secara terus menerus menggunakan pemulihan titik-waktu dan snapshot harian yang disimpan selama tiga puluh (30) hari. Integritas cadangan diuji secara teratur untuk memastikan data dapat dipulihkan dengan sukses dalam skenario pemulihan.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
