1.Gambaran Keselamatan dan Skop
Lampiran Keselamatan ini menerangkan langkah teknikal dan organisasi keselamatan BambooHR ("Langkah Keselamatan") yang direka untuk melindungi Data Pelanggan daripada akses tanpa kebenaran, pendedahan, pengubahsuaian, dan pemusnahan. Lampiran ini dimasukkan ke dalam dan membentuk sebahagian daripada Perjanjian Pemprosesan Data BambooHR.
BambooHR disahkan di bawah rangka kerja SOC 2 Type II (Kriteria Perkhidmatan Kestabilan untuk Keselamatan, Ketersediaan, dan Kerahsiaan) dan menjalani audit pihak ketiga tahunan untuk mengesahkan reka bentuk dan keberkesanan operasi kawalan ini. Pelanggan boleh meminta salinan laporan SOC 2 terkini BambooHR di bawah NDA dengan menghubungi pasukan keselamatan kami melalui halaman hubungan kami.
2.Infrastruktur dan Keselamatan Rangkaian
BambooHR's infrastruktur produksi dihoskan di Amazon Web Services (AWS) di Amerika Syarikat, dengan data direplikasi ke beberapa zon ketersediaan untuk kebolehpercayaan. Semua sistem produksi diasingkan dalam Virtual Private Cloud (VPC) dengan kawalan akses rangkaian yang ketat. BambooHR menggunakan firewall, sistem pengesanan pencerobohan, dan firewall aplikasi web untuk melindungi daripada akses tanpa kebenaran dan serangan web biasa.
BambooHR menggunakan pendekatan pertahanan berlapis bagi keselamatan rangkaian, termasuk segmentasi rangkaian antara persekitaran produksi, staging, dan pembangunan; imbasan kerentanan automatik komponen infrastruktur; dan pemantauan berterusan lalu lintas rangkaian untuk aktiviti luar biasa.
3.Keselamatan Data dan Penyulitan
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Data Pelanggan diasingkan secara logik daripada data pelanggan lain melalui kawalan peringkat aplikasi dan peringkat database. BambooHR menjalankan latihan pengkelasan data secara berkala untuk mengenal pasti dan menerapkan kawalan keselamatan yang sesuai kepada pelbagai kategori data.
4.Keselamatan Aplikasi
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Kawalan Akses dan Pengesahan
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Pelanggan boleh menetapkan pengesahan pelbagai faktor, single sign-on (SSO), dan kawalan akses berasaskan peranan (RBAC) dalam akaun BambooHR mereka. BambooHR menyokong integrasi SSO berasaskan SAML 2.0 dengan penyedia identiti utama termasuk Okta, Azure AD, dan Google Workspace.
6.Pengesanan dan Respons Insiden
BambooHR mengekalkan Pelan Respons Insiden Keselamatan yang didokumentasikan yang mentakrifkan prosedur untuk mengesan, mengklasifikasikan, mengandungi, menyiasat, dan pulih daripada insiden keselamatan. Pasukan respons insiden terdiri daripada wakil-wakil daripada fungsi keselamatan, kejuruteraan, undang-undang, dan sokongan pelanggan.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.:**Kelangsungan Perniagaan dan Pemulihan Bencana
BambooHR mengekalkan Pelan Kelangsungan Perniagaan (BCP) dan Pelan Pemulihan Bencana (DRP) yang diuji sekurang-kurangnya setiap tahun. BambooHR menyasarkan Objektif Masa Pemulihan (RTO) empat (4) jam dan Objektif Titik Pemulihan (RPO) satu (1) jam untuk perkhidmatan platform terasnya.
Data Pelanggan disandarkan secara berterusan menggunakan pemulihan pada titik masa dan imbasan harian yang disimpan selama tiga puluh (30) hari. Integriti sandaran diuji secara berkala untuk memastikan data boleh dipulihkan dalam senario pemulihan.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
