1.개요 및 범위
이 보안 부속서는 BambooHR의 기술적 및 조직적 보안 조치(이하 "보안 조치")를 설명하며, 이는 무단 접근, 유출, 변경 및 파기로부터 고객 데이터를 보호하기 위해 설계되었습니다. 본 부속서는 BambooHR 데이터 처리 계약의 일부로 포함되어 있습니다.
BambooHR은 SOC 2 유형 II 프레임워크(AICPA 보안, 가용성 및 기밀성 신뢰 서비스 기준) 하에 인증을 받았으며 이러한 제어의 설계 및 운영 효과를 확인하기 위해 연간 제3자 감사가 수행됩니다. 고객은 NDA를 통해 보안 팀에 연락하여 BambooHR의 최신 SOC 2 보고서 사본을 요청할 수 있습니다.
2.인프라 및 네트워크 보안
BambooHR의 생산 인프라는 미국에 있는 Amazon Web Services(AWS)에서 호스팅되며 데이터는 중복을 위해 다중 가용 영역으로 복제됩니다. 모든 생산 시스템은 엄격한 네트워크 액세스 제어가 적용된 가상 프라이빗 클라우드(VPC)로 분리되어 있습니다. BambooHR은 무단 접근 및 일반적인 веб 기반 공격으로부터 보호하기 위해 방화벽, 침입 탐지 시스템 및 웹 애플리케이션 방화벽을 운영합니다.
BambooHR는 생산, 대기 및 개발 환경 간의 네트워크 세분화, 인프라 구성 요소에 대한 자동 취약점 스캔, 네트워크 트래픽의 이상 활동에 대한 지속적 모니터링 등 계층적 방어 접근법을 네트워크 보안에 적용합니다.
3.데이터 보안 및 암호화
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
고객 데이터는 애플리케이션 수준 및 데이터베이스 수준의 제어를 통해 다른 고객의 데이터와 논리적으로 분리됩니다. BambooHR은 서로 다른 데이터 범주에 적절한 보안 제어를 식별하고 적용하기 위한 정기적인 데이터 분류 작업을 수행합니다.
4.애플리케이션 보안
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.접근 제어 및 인증
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
고객은 다단계 인증, 싱글 사인온(SSO), 및 RBAC(역할 기반 접근 제어)를 자신의 BambooHR 계정 내에서 구성할 수 있습니다. BambooHR는 Okta, Azure AD, Google Workspace를 포함한 주요 아이덴티티 공급자와의 SAML 2.0 기반 SSO 통합을 지원합니다.
6.사고 탐지 및 대응
BambooHR는 보안 사고를 탐지, 분류, 격리, 조사 및 복구를 위한 절차를 정의하는 문서화된 보안 사고 대응 계획(SIRP)을 유지합니다. 사고 대응 팀은 보안, 엔지니어링, 법무 및 고객 지원 기능의 대표자로 구성됩니다.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.비즈니스 연속성 및 재해 복구
BambooHR는 최소 1년에 한 번 테스트되는 비즈니스 연속성 계획(BCP)과 재해 복구 계획(DRP)을 유지합니다. BambooHR의 핵심 플랫폼 서비스에 대해 복구 시점 목표(RTO)를 4시간, 복구 지점 목표(RPO)를 1시간으로 설정합니다.
고객 데이터는 시점별 복구(point-in-time) 및 매일 스냅샷으로 지속적으로 백업되며 30일간 보관됩니다. 복구 시나리오에서 데이터를 성공적으로 복원할 수 있도록 백업 무결성을 정기적으로 테스트합니다.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
