1.概要と範囲
BambooHR の技術的および組織的なセキュリティ対策（"Security Measures"）を説明する本 Security Exhibit は、Customer Data への不正アクセス、開示、改ざん、破壊を防ぐことを目的としています。本 Exhibit は BambooHR Data Processing Agreement の一部として組み込まれ、同契約の一部を構成します。
BambooHR は SOC 2 Type II フレームワーク（AICPA Trust Services Criteria for Security, Availability, and Confidentiality）に基づき認証されており、これらの統制の設計と運用有効性を検証する年次の第三者監査を受けています。お客様は NDA の下で、BambooHR の最新の SOC 2 レポートのコピーを、弊社のセキュリティチームへ当社問い合わせページから連絡して要請することができます。
2.インフラストラクチャとネットワークのセキュリティ
BambooHR の本番インフラストラクチャは米国の Amazon Web Services (AWS) 上にホストされ、可用性のためにデータを複数のアベイラビリティゾーンに複製します。すべての本番システムは厳格なネットワークアクセス制御を備えた Virtual Private Cloud (VPC) 内に分離されています。BambooHR はファイアウォール、侵入検知システム、ウェブアプリケーションファイアウォールを用いて、不正アクセスおよび一般的なウェブ攻撃から保護します。
BambooHR はネットワークセキュリティに対しディフェンス・イン・デプスのアプローチを採用しており、生産環境、ステージング環境、開発環境間のネットワークセグメンテーション、インフラストラクチャ構成要素の自動的な脆弱性スキャン、異常なトラフィックを継続的に監視する体制をとっています。
3.データのセキュリティと暗号化
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
顧客データは他の顧客データと論理的に分離され、アプリケーションレベルおよびデータベースレベルの制御によって保護されます。BambooHR は定期的にデータ分類を実施し、データの各カテゴリに適切なセキュリティ統制を適用します。
4.アプリケーションセキュリティ
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.アクセス制御と認証
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
顧客は BambooHR アカウント内で多要素認証、シングルサインオン（SSO）、およびロールベースのアクセス制御（RBAC）を設定できます。BambooHR は Okta、Azure AD、Google Workspace などの主要アイデンティティプロバイダとの SAML 2.0 ベースの SSO 統合をサポートします。
6.インシデント検出と対応
BambooHR はセキュリティインシデント対応計画を文書化しており、インシデントの検出、分類、封じ込め、調査、復旧の手順を定義しています。インシデント対応チームには、セキュリティ、エンジニアリング、法務、カスタマーサポートの関係者が含まれます。
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.事業継続性と災害復旧
BambooHR は事業継続計画（BCP）と災害復旧計画（DRP）を保持しており、少なくとも年次でテストを実施します。BambooHR は本コアプラットフォームサービスの回復時間目標（RTO）を4時間、回復点目標（RPO）を1時間とします。
顧客データは継続的にバックアップされ、ポイントリカバリと日次スナップショットが30日間保持されます。バックアップの完全性は、リカバリシナリオでデータを正常に復元できることを確認するために定期的にテストされます。
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
