1.ภาพรวมและขอบเขต
Exhibit ความปลอดภัยนี้อธิบายมาตรการความปลอดภัยทางเทคนิคและองค์กรของ BambooHR ("Security Measures") ที่ออกแบบมาเพื่อปกป้องข้อมูลลูกค้าไม่ให้เข้าถึงโดยไม่ได้รับอนุญาต เปิดเผย แก้ไข และทำลาย Exhibit นี้ถูกรวมเป็นส่วนหนึ่งของข้อตกลง Data Processing Agreement ของ BambooHR
BambooHR ได้รับการรับรองตามกรอบ SOC 2 Type II (AICPA Trust Services Criteria for Security, Availability, and Confidentiality) และเข้ารับการตรวจสอบโดยบุคคลที่สามทุกปี เพื่อยืนยันการออกแบบและประสิทธิภาพของการควบคุมเหล่านี้ ลูกค้าสามารถขอสำเนารายงาน SOC 2 ล่าสุดของ BambooHR ภายใต้ NDA โดยติดต่อทีมความปลอดภัยผ่านหน้าติดต่อของเรา
2.โครงสร้างพื้นฐานและความปลอดภัยเครือข่าย
BambooHR โครงสร้างพื้นฐานการผลิตโฮสต์บน Amazon Web Services (AWS) ในสหรัฐอเมริกา โดยข้อมูลถูกรายงานซ้ำซ้อนในหลายโซนเพื่อความซ้ำซ้อน ระบบการผลิตทั้งหมดถูกแยกระหว่าง Virtual Private Cloud (VPC) ด้วยการควบคุมการเข้าถึงเครือข่ายที่เข้มงวด BambooHR ใช้ไฟร์วอลล์ ระบบตรวจจับการบุกรุก และไฟร์วอลล์เว็บแอปพลิเคชันเพื่อปกป้องจากการเข้าถึงที่ไม่ได้รับอนุญาตและการโจมตีทางเว็บพื้นฐาน
BambooHR ใช้แนวคิดป้องกันเชิงลึกด้านความปลอดภัยเครือข่าย รวมถึงการแบ่งเครือข่ายระหว่างสภาพแวดล้อมการผลิต สเตจ และพัฒนา การสแกนช่องโหว่อัตโนมัติของส่วนประกอบโครงสร้างพื้นฐาน และการตรวจสอบเครือข่ายอย่างต่อเนื่องเพื่อหากิจกรรมผิดปกติ
3.ความปลอดภัยข้อมูลและการเข้ารหัส
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
ข้อมูลลูกค้าถูกแยกประเภทจากข้อมูลของลูกค้าอื่นๆ ด้วยการควบคุมในระดับแอปพลิเคชันและฐานข้อมูล BambooHR ทำการจำแนกข้อมูลเป็นประจำเพื่อระบุและบังคับใช้อย่างเหมาะสมกับมาตรการด้านความปลอดภัยในข้อมูลแต่ละประเภท
4.ความปลอดภัยของแอปพลิเคชัน
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.การควบคุมการเข้าถึงและการตรวจสอบสิทธิ์
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
ลูกค้าสามารถกำหนดการยืนยันตัวตนหลายปัจจัย การลงชื่อเข้าใช้ครั้งเดียว (SSO) และการควบคุมการเข้าถึงตามบทบาท (RBAC) ในบัญชี BambooHR ของตน BambooHR รองรับการรวม SAML 2.0-based SSO กับผู้ให้บริการระบุตัวตนหลักๆ รวมถึง Okta, Azure AD และ Google Workspace
6.การตรวจจับเหตุการณ์และการตอบสนอง
BambooHR มีแผนตอบสนองเหตุการณ์ด้านความปลอดภัยที่บันทึกไว้ ซึ่งกำหนดขั้นตอนในการตรวจจับ จัดหมวดหมู่ บัญชาการContain ตรวจสอบ และกู้คืนจากเหตุการณ์ความปลอดภัย ทีมตอบสนองเหตุการณ์ประกอบด้วยตัวแทนจากฝ่ายความปลอดภัย วิศวกรรม ฝ่ายกฎหมาย และบริการลูกค้า
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.ความต่อเนื่องทางธุรกิจและการกู้คืนจากภัยพิบัติ
BambooHR มีแผนความต่อเนื่องทางธุรกิจ (BCP) และแผนกู้คืนจากภัยพิบัติ (DRP) ซึ่งทดสอบอย่างน้อยปีละครั้ง BambooHR ตั้งเป้าหมาย Recovery Time Objective (RTO) ที่สี่ (4) ชั่วโมง และ Recovery Point Objective (RPO) ที่หนึ่ง (1) ชั่วโมงสำหรับบริการแพลตฟอร์มหลัก
ข้อมูลลูกค้าถูกสำรองข้อมูลอย่างต่อเนื่องด้วยการกู้คืน ณ จุดเวลา (point-in-time) และสแน็ปช็อตรายวันที่เก็บรักษาไว้เป็นเวลา thirty (30) วัน ความสมบูรณ์ของข้อมูลถูกทดสอบเป็นประจำเพื่อให้แน่ใจว่าสามารถกู้คืนข้อมูลได้ในสถานการณ์การกู้คืน
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
