1.Oversikt og omfang
Dette Security Exhibit beskriver BambooHR's tekniske og organisatoriske sikkerhetstiltak ("Sikkerhetstiltak") utformet for å beskytte Kundedata mot uautorisert tilgang, offentliggjøring, endring og destruksjon. Dette Exhibit er integrert i og utgjør en del av BambooHR Data Processing Agreement.
BambooHR er sertifisert under SOC 2 Type II-rammeverket (AICPA Trust Services Criteria for Security, Availability, and Confidentiality) og gjennomgår årlige tredjepartsrevisjoner for å verifisere design og operativ effekt av disse kontrollene. Kundene kan be om en kopi av BambooHRs nyeste SOC 2-rapport under NDA ved å kontakte vårt sikkerhetsteam via kontaktsiden.
2.Infrastruktur og nettverkssikkerhet
BambooHR's produksjonsinfrastruktur er vert på Amazon Web Services (AWS) i USA, med data replisert til flere tilgjengelighetssoner for redundans. Alle produksjonssystemer er isolert i en Virtual Private Cloud (VPC) med strenge nettverks-tilganger. BambooHR bruker brannmurer, inntrengningsdeteksjonssystemer og nettapplikasjons-brannmurer for å beskytte mot uautorisert tilgang og vanlige nettbaserte angrep.
BambooHR bruker en forsvar-i-dybden-tilnærming til nettverkssikkerhet, inkludert segmentering av nettverk mellom produksjon, staging og utviklingsmiljøer; automatisert sårbarhetsskanning av infrastrukturkomponenter; og kontinuerlig overvåking av nettverkstrafikk for avvikende aktivitet.
3.Datasikkerhet og kryptering
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Kundedata er logisk atskilt fra data som tilhører andre kunder gjennom applikasjons- og database-nivå kontroller. BambooHR utfører regelmessige data klassifiseringsøvelser for å identifisere og anvende passende sikkerhetskontroller på ulike datakategorier.
4.Applikasjonssikkerhet
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Tilgangskontroller og autentisering
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Kunder kan konfigurere multifaktorautentisering, enkel innlogging (SSO), og rollebaserte tilgangskontroller (RBAC) i sine BambooHR-kontoer. BambooHR støtter SAML 2.0-basert SSO-integrasjon med store identitetsleverandører inkludert Okta, Azure AD og Google Workspace.
6. Hendelsesdeteksjon og respons
BambooHR opprettholder en dokumentert Security Incident Response Plan som definerer prosedyrer for å oppdage, klassifisere, inneholde, etterforske og gjenvinne fra sikkerhetshendelser. Hendelsesresponsgraden inkluderer representanter fra sikkerhet, ingeniørfag, jus og kundestøtte.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Forretningskontinuitet og katastrofeberedskap
BambooHR opprettholder en Business Continuity Plan (BCP) og Disaster Recovery Plan (DRP) som testes minst årlig. BambooHR har som mål en gjenopprettingstid (RTO) på fire (4) timer og et gjenopprettingspunktsmål (RPO) på én (1) time for sine kjerneplattformtjenester.
Kundedata sikkerhetskopieres kontinuerlig ved bruk av punkt-i-tid- gjenoppretting og daglige øyeblikksbilder som beholdes i trettini (30) dager. Sikkerhetskopieringens integritet testes regelmessig for å sikre at data kan gjenopprettes i en gjenopprettingssituasjon.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
