1.Genel Bakış ve Kapsam
Bu Güvenlik Eki, BambooHR'ın Yetkisiz erişim, ifşa, değiştirme ve yok etmeden müşteri verilerini korumak için tasarlanmış teknik ve organizasyonel güvenlik önlemlerini ("Güvenlik Önlemleri") açıklar. Bu Ek, BambooHR Veri İşleme Sözleşmesi'ne dahil edilmiştir ve parçasını oluşturur.
BambooHR SOC 2 Tip II çerçevesine (Güvenlik, Erişilebilirlik ve Gizlilik için AICPA Güvenlik Hizmetleri Kriterleri) uygun olarak sertifikalıdır ve bu kontrollerin tasarım ve işletme etkinliğini doğrulamak için yıllık üçüncü taraf denetimlerinden geçer. Müşteriler, güvenlik ekibimizle iletişim sayfamız üzerinden NDA kapsamında BambooHR'in en güncel SOC 2 raporunun bir kopyasını talep edebilirler.
2.Altyapı ve Ağ Güvenliği
BambooHR'ın üretim altyapısı Amerika Birleşik Devletleri'nde Amazon Web Services (AWS) üzerinde barındırılır; veriler, koprendizans için birden çok kullanılabilirlik bölgesine çoğaltılır. Tüm üretim sistemleri, sıkı ağ erişim denetimlerine sahip Sanal Özel Bulut (VPC) içinde izole edilmiştir. BambooHR, yetkisiz erişim ve yaygın web tabanlı saldırılara karşı koruma sağlamak için güvenlik duvarları, saldırı tespit sistemleri ve web uygulama güvenlik duvarları kullanır.
BambooHR ağ güvenliğine katmanlı bir yaklaşım kullanır; üretim, staging ve geliştirme ortamları arasında ağ bölümlendirme; altyapı bileşenlerinin otomatik zayıf nokta taraması; anormal etkinlik için ağ trafiğinin sürekli izlenmesi.
3.Veri Güvenliği ve Şifreleme
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Müşteri Verileri, uygulama düzeyi ve veritabanı düzeyi kontrollerle diğer müşterilere ait veriden mantıksal olarak ayrıdır. BambooHR gerekli güvenlik kontrollerini uygulamak için düzenli veri sınıflandırması çalışmaları gerçekleştirir.
4.Uygulama Güvenliği
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Erişim Kontrolleri ve Kimlik Doğrulama
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Müşteriler çok faktörlü kimlik doğrulama, tek oturum açma (SSO) ve RBAC (rol tabanlı erişim kontrolleri) gibi özellikleri BambooHR hesaplarında yapılandırabilir. BambooHR, Okta, Azure AD ve Google Workspace dahil olmak üzere büyük kimlik sağlayıcılarıyla SAML 2.0 tabanlı SSO entegrasyonunu destekler.
6.Olay Tespiti ve Yanıtı
BambooHR Güvenlik Olayı Yanıt Planı'nı dokümante etmiş olup güvenlik olaylarını tespit etme, sınıflandırma, sınırlama, soruşturma ve iyileştirme süreçlerini tanımlar. Olay yanıt ekibi güvenlik, mühendislik, hukuk ve müşteri desteği fonksiyonlarından temsilciler içerir.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.İş Sürekliliği ve Afetlerden Korunma
BambooHR, en az yıllık olarak test edilen bir İş Sürekliliği Planı (BCP) ve Afet Kurtarma Planı (DRP) sürdürür. BambooHR, çekirdek platform hizmetleri için dört (4) saatlik bir Kurtarma Zaman Hedefi (RTO) ve bir (1) saatlik bir Kurtarma Noktası Hedefi (RPO) hedefler.
Müşteri Verisi, zaman damgalı kurtarma ve günlük anlık görüntülerle sürekli olarak yedeklenir; bu veriler otuz (30) gün süreyle saklanır. Yedekleme bütünlüğü, kurtarma senaryosunda verilerin başarıyla geri yüklenmesini sağlamak için düzenli olarak test edilir.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
