1.概要および適用範囲
この Security Exhibit は、無許可のアクセス、開示、改ざん、破壊から Customer Data を保護するために設計された BambooHR's の技術的および組織的セキュリティ対策（「Security Measures」）を記載するものです。本 Exhibit は、BambooHR Data Processing Agreement に組み込まれ、その一部を構成します。
BambooHR は SOC 2 Type II framework（AICPA Trust Services Criteria for Security, Availability, and Confidentiality）に基づき認証を受けており、これらの統制の設計および運用有効性を検証するため、年次の第三者監査を受けております。お客様は、お問い合わせページから当社の security team にご連絡いただくことで、NDA の下で BambooHR's 最新の SOC 2 report の写しをご請求いただけます。
2.インフラストラクチャおよびネットワークセキュリティ
BambooHR's の本番インフラストラクチャは、米国の Amazon Web Services (AWS) 上でホストされており、冗長性確保のためデータは複数の availability zones に複製されております。すべての本番システムは、厳格なネットワークアクセス制御を備えた Virtual Private Cloud (VPC) 内で分離されています。BambooHR は、不正アクセスおよび一般的なウェブベースの攻撃から保護するため、ファイアウォール、侵入検知システム、およびウェブアプリケーションファイアウォールを導入しております。
BambooHR は、ネットワークセキュリティについて defense-in-depth のアプローチを採用しており、本番、ステージング、開発環境間のネットワーク分割、インフラコンポーネントに対する自動脆弱性スキャン、ならびに異常活動に対するネットワークトラフィックの継続的監視を含みます。
3.データセキュリティおよび暗号化
すべての顧客データは、TLS 1.2 以上を使用して転送中に暗号化されます。rest にあるすべての顧客データは、AES-256 暗号化を使用して暗号化されます。データベース暗号化キーは、厳格なアクセス制御およびローテーションポリシーの下で、AWS Key Management Service (KMS) を使用して管理されます。
Customer Data は、アプリケーションレベルおよびデータベースレベルの制御により、他のお客様に属するデータから論理的に分離されております。BambooHR は、各種データ区分に適切なセキュリティ制御を識別し適用するため、定期的なデータ分類作業を実施しております。
4.アプリケーションセキュリティ
BambooHR は、セキュリティ要件の定義、脅威モデリング、セキュリティ脆弱性に関するコードレビュー、およびセキュリティテストを含む、安全なソフトウェア開発ライフサイクル（SSDLC）に従っています。すべてのコード変更は、展開前に少なくとも1人のエンジニアによってレビューされ、変更は自動セキュリティスキャンの対象となります。
BambooHR は、独立した第三者セキュリティ企業によって実施される年次侵入テストを実施しています。重大および高重大度の指摘は、定められたSLA内で是正されます。BambooHR は、外部研究者が潜在的なセキュリティ問題を報告できる脆弱性開示プログラムも運営しています。
5.アクセス制御および認証
本番システムへのアクセスは、必要知識原則および最小権限原則に基づき、認可されたBambooHRの人員に限定されます。本番環境へのすべてのアクセスには多要素認証（MFA）が必要であり、記録および監査されます。特権アクセスは四半期ごとに見直され、従業員の退職時には直ちに取り消されます。
お客様は、多要素認証、シングルサインオン（SSO）、および役割ベースのアクセス制御（RBAC）を、BambooHRアカウント内で構成できます。BambooHRは、Okta、Azure AD、Google Workspace を含む主要な ID プロバイダーとの SAML 2.0 ベースの SSO 統合をサポートしています。
6.インシデント検知および対応
BambooHR は、セキュリティインシデントの検知、分類、封じ込め、調査、および復旧のための手順を定めた文書化済みの Security Incident Response Plan を維持しております。インシデント対応チームには、セキュリティ、エンジニアリング、法務、顧客サポートの各部門の代表者が含まれております。
BambooHR は、自動アラート機能と 24/7 のオンコールによるセキュリティ監視を組み合わせて、潜在的なセキュリティインシデントを検知します。顧客データに影響を及ぼすセキュリティインシデントを確認した場合、BambooHR は、適用法およびデータ処理契約に従い、影響を受けたお客様に 72 時間以内に通知いたします。
7.事業継続および災害復旧
BambooHR は、少なくとも年1回テストされる Business Continuity Plan (BCP) および Disaster Recovery Plan (DRP) を維持しております。BambooHR は、コアプラットフォームサービスについて、Recovery Time Objective (RTO) を 4 時間、Recovery Point Objective (RPO) を 1 時間としております。
Customer Data は、ポイントインタイムリカバリを用いて継続的にバックアップされ、バックアップは 30 日間保持される日次スナップショットとして保存されます。データを復旧シナリオで確実に復元できるよう、バックアップの整合性は定期的に検証されております。
8.従業員のセキュリティおよび訓練
本番システムまたは顧客データへのアクセス権を有するすべてのBambooHR従業員は、雇用前に身元調査を受け、秘密保持契約に署名します。すべての従業員は、入社時およびその後毎年、フィッシングへの注意、パスワード管理、データ取扱責任を含むトピックをカバーする、必須のセキュリティ意識向上研修を修了します。
BambooHR は、従業員および請負業者に対する文書化された適正利用方針を有しており、個人的活動のためのBambooHRシステムの使用および権限のないデータアクセスを禁止しています。違反は、解雇を含む懲戒処分の対象となります。
