1.Prezentare generală și domeniul de aplicare
Această expoziție de securitate descrie măsurile de securitate tehnice și organizaționale ale BambooHR („Măsuri de securitate”) concepute pentru a proteja Datele clienților împotriva accesului, dezvăluirii, modificării și distrugerii neautorizate. Această expoziție este încorporată și face parte din Acordul de prelucrare a datelor BambooHR.
BambooHR este certificat în cadrul SOC 2 Type II (AICPA Trust Services Criteria for Security, Availability, and Confidentiality) și este supus auditurilor anuale de la terți pentru a verifica proiectarea și eficacitatea operațională a acestor controale. Clienții pot solicita o copie a celui mai recent raport SOC 2 al BambooHR în conformitate cu NDA, contactând echipa noastră de securitate prin intermediul paginii noastre de contact.
2.Infrastructura și securitatea rețelei
Infrastructura de producție a BambooHR este găzduită pe Amazon Web Services (AWS) în Statele Unite, cu date replicate în mai multe zone de disponibilitate pentru redundanță. Toate sistemele de producție sunt izolate într-un Virtual Private Cloud (VPC) cu controale stricte de acces la rețea. BambooHR folosește firewall-uri, sisteme de detectare a intruziunilor și firewall-uri pentru aplicații web pentru a proteja împotriva accesului neautorizat și a atacurilor comune bazate pe web.
BambooHR folosește o abordare aprofundată a securității rețelei, inclusiv segmentarea rețelei între mediile de producție, punere în scenă și dezvoltare; scanarea automată a vulnerabilităților componentelor infrastructurii; și monitorizarea continuă a traficului de rețea pentru activitate anormală.
3.Securitatea datelor și criptare
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Datele clienților sunt separate în mod logic de datele care aparțin altor clienți prin controale la nivel de aplicație și la nivel de bază de date. BambooHR efectuează regulat exerciții de clasificare a datelor pentru a identifica și aplica controale de securitate adecvate diferitelor categorii de date.
4.Securitatea aplicației
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Control de acces și autentificare
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Clienții pot configura autentificarea cu mai mulți factori, conectarea unică (SSO) și controalele de acces bazate pe rol (RBAC) în conturile lor BambooHR. BambooHR acceptă integrarea SSO bazată pe SAML 2.0 cu furnizorii importanți de identitate, inclusiv Okta, Azure AD și Google Workspace.
6.Detectarea și răspunsul la incidente
BambooHR menține un Plan de răspuns la incidente de securitate documentat care definește proceduri pentru detectarea, clasificarea, limitarea, investigarea și recuperarea din incidente de securitate. Echipa de răspuns la incident include reprezentanți ai funcțiilor de securitate, inginerie, juridice și asistență pentru clienți.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Continuitatea afacerii și recuperarea în caz de dezastru
BambooHR menține un plan de continuitate a afacerii (BCP) și un plan de recuperare în caz de dezastru (DRP) care sunt testate cel puțin anual. BambooHR vizează un Recovery Time Objective (RTO) de patru (4) ore și un Recovery Point Objective (RPO) de o (1) oră pentru serviciile sale principale ale platformei.
Datele clienților sunt salvate în mod continuu folosind recuperarea punctuală și instantaneele zilnice păstrate timp de treizeci (30) de zile. Integritatea copiei de rezervă este testată în mod regulat pentru a se asigura că datele pot fi restaurate cu succes într-un scenariu de recuperare.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
