1.Översikt och omfattning
Denna Säkerhetsutställning beskriver BambooHRs tekniska och organisatoriska säkerhetsåtgärder ("Säkerhetsåtgärder"), utformade för att skydda Kunddata mot obehörig åtkomst, utlämnande, förändring och förstöring. Denna utställning införs i och utgör en del av BambooHR Data Processing Agreement.
BambooHR är certifierad enligt SOC 2 Typ II-ramverket (AICPA Trust Services Criteria för Security, Availability och Confidentiality) och genomgår årliga tredjepartsrevisioner för att verifiera utformningen och den operativa effektiviteten hos dessa kontroller. Kunder kan begära en kopia av BambooHRs senaste SOC 2-rapport under NDA genom att kontakta vår säkerhetsteam via vår kontaktsida.
2.Infrastruktur och nätverkssäkerhet
BambooHRs produktionsinfrastruktur är värd hos Amazon Web Services (AWS) i USA, med data replikerat till flera tillgänglighetszoner för redundans. Alla produktionssystem är isolerade i ett Virtual Private Cloud (VPC) med strikta nätverksåtkomstkontroller. BambooHR tillämpar brandväggar, intrångsdetekteringssystem och webbapplikationsbrandväggar för att skydda mot obehörig åtkomst och vanliga webbattacker.
BambooHR använder ett försvar-i-djupet-ramverk för nätverkssäkerhet, inklusive nätverkssegregering mellan produktion, staging och utvecklingsmiljöer; automatiserad sårbarhetsskanning av infrastrukturkomponenter; och kontinuerlig övervakning av nätverkstrafik för avvikande aktivitet.
3.Datasäkerhet och kryptering
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Kunddata är logiskt åtskilt från data tillhörande andra kunder genom applikations- och databasnivåer. BambooHR genomför regelbundna dataklassificeringsövningar för att identifiera och tillämpa lämpliga säkerhetskontroller på olika kategorier av data.
4.Applikationssäkerhet
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Åtkomstkontroller och autentisering
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Kunder kan konfigurera flerkrypterad inloggning, enkel inloggning (SSO) och rollbaserad åtkomstkontroll (RBAC) inom sina BambooHR-konton. BambooHR stödjer SAML 2.0-baserad SSO-integration med större identitetsleverantörer inklusive Okta, Azure AD och Google Workspace.
6.Incidentdetektering och svar
BambooHR upprätthåller en dokumenterad Security Incident Response Plan som definierar rutiner för att upptäcka, klassificera, begränsa, undersöka och återställa från säkerhetsincidenter. Incidentrespons-teamet inkluderar representanter från säkerhet, teknik, juridik och kundsupport.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Företagskontinuitet och katastrofåterställning
BambooHR upprätthåller en Business Continuity Plan (BCP) och en Disaster Recovery Plan (DRP) som testas minst årligen. BambooHR siktar på en återställningstid (RTO) på fyra (4) timmar och en återställningpunkt (RPO) på en (1) timme för sina kärnplattformstjänster.
Kunddata backas upp kontinuerligt med återställning vid vissa tidpunkter och dagliga ögonblicksbilder behålls i trettio (30) dagar. Säkerhetskopianens integritet testas regelbundet för att säkerställa att data kan återställas i en återställningssituation.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
