1.Tổng quan và Phạm vi
Phương Exhibit Bảo mật này mô tả các biện pháp bảo mật kỹ thuật và tổ chức của BambooHR ("Các Biện pháp Bảo mật") nhằm bảo vệ Dữ liệu Khách hàng khỏi truy cập trái phép, tiết lộ, sửa đổi và phá hủy. Exhibit này được tích hợp vào và là một phần của BambooHR Data Processing Agreement.
BambooHR được chứng nhận theo khuôn khổ SOC 2 Type II (Tiêu chí Dịch vụ Tin cậy của AICPA cho Bảo mật, Sẵn sàng và Bảo mật Thông tin) và trải qua các kiểm toán của bên thứ ba hàng năm để xác thực thiết kế và hiệu quả vận hành của các kiểm soát này. Khách hàng có thể yêu cầu bản sao báo cáo SOC 2 gần nhất của BambooHR theo NDA bằng cách liên hệ với đội bảo mật của chúng tôi qua trang liên hệ.
2.Bảo mật và Mạng
Hạ tầng sản xuất của BambooHR được lưu trữ trên Amazon Web Services (AWS) tại Hoa Kỳ, với dữ liệu được sao chép sang nhiều khu vực sẵn sàng để đảm bảo dự phòng. Tất cả hệ thống sản xuất được cô lập trong Virtual Private Cloud (VPC) với các kiểm soát truy cập mạng nghiêm ngặt. BambooHR sử dụng tường lửa, hệ thống phát hiện xâm nhập và tường lửa приложения web để bảo vệ khỏi truy cập trái phép và các tấn công dựa trên web phổ biến.
BambooHR áp dụng phương pháp phòng thủ sâu để bảo mật mạng, bao gồm phân đoạn mạng giữa sản xuất, staging và phát triển; quét lỗ hổng tự động các thành phần hạ tầng; và giám sát liên tục lưu lượng mạng nhằm phát hiện hoạt động bất thường.
3.Bảo mật dữ liệu và Mã hóa
All Customer Data is encrypted in transit using TLS 1.2 or higher. All Customer Data at rest is encrypted using AES-256 encryption. Database encryption keys are managed using AWS Key Management Service (KMS) with strict access controls and rotation policies.
Dữ liệu Khách hàng được phân lập hợp lý khỏi dữ liệu của các khách hàng khác thông qua các kiểm soát ở cấp ứng dụng và cơ sở dữ liệu. BambooHR thực hiện các bài tập phân loại dữ liệu định kỳ để nhận diện và áp dụng các kiểm soát bảo mật phù hợp cho các loại dữ liệu khác nhau.
4.Bảo mật Ứng dụng
BambooHR follows a secure software development lifecycle (SSDLC) that includes security requirements definition, threat modelling, code review for security vulnerabilities, and security testing. All code changes are reviewed by at least one engineer before deployment, and changes are subject to automated security scanning.
BambooHR conducts annual penetration testing performed by an independent third-party security firm. Critical and high-severity findings are remediated within defined SLAs. BambooHR also operates a vulnerability disclosure programme that allows external researchers to report potential security issues.
5.Kiểm soát Truy cập và Xác thực
Access to production systems is restricted to authorised BambooHR personnel on a need-to-know, least-privilege basis. All access to production environments requires multi-factor authentication (MFA) and is logged and audited. Privileged access is reviewed quarterly and revoked immediately upon employee termination.
Khách hàng có thể cấu hình xác thực đa yếu tố, đăng nhập một lần (SSO), và kiểm soát truy cập dựa trên vai trò (RBAC) trong tài khoản BambooHR của họ. BambooHR hỗ trợ tích hợp SSO dựa trên SAML 2.0 với các nhà cung cấp nhận dạng chính bao gồm Okta, Azure AD và Google Workspace.
6.Phát hiện và Phản hồi sự cố
BambooHR duy trì Kế hoạch Phản hồi Sự cố Bảo mật được ghi lại, xác định các thủ tục để phát hiện, phân loại, containment, điều tra và phục hồi sau sự cố bảo mật. Đội phản ứng sự cố bao gồm đại diện từ các chức năng bảo mật, kỹ thuật, pháp lý và hỗ trợ khách hàng.
BambooHR uses a combination of automated alerting and 24/7 on-call security monitoring to detect potential security incidents. Upon confirming a security incident affecting Customer Data, BambooHR will notify affected customers within seventy-two (72) hours as required by applicable law and the Data Processing Agreement.
7.Kinh doanh liên tục và Phục hồi sau thảm họa
BambooHR duy trì Kế hoạch Thực thi Kinh doanh liên tục (BCP) và Kế hoạch Phục hồi Thảm họa (DRP) được kiểm tra ít nhất hàng năm. BambooHR nhắm mục tiêu Thời gian Phục hồi (RTO) là bốn (4) giờ và Điểm Phục hồi (RPO) là một (1) giờ cho các dịch vụ nền tảng lõi của nó.
Dữ liệu Khách hàng được sao lưu liên tục bằng phương pháp phục hồi theo thời điểm và các bản sao hàng ngày được lưu giữ trong ba mươi (30) ngày. Tính toàn vẹn sao lưu được kiểm tra định kỳ để đảm bảo có thể khôi phục dữ liệu trong trường hợp khôi phục.
8.Employee Security and Training
All BambooHR employees with access to production systems or Customer Data undergo background checks prior to employment and sign confidentiality agreements. All employees complete mandatory security awareness training upon hire and annually thereafter, covering topics including phishing awareness, password hygiene, and data handling responsibilities.
BambooHR has a documented acceptable use policy for employees and contractors that prohibits use of BambooHR systems for personal activities and unauthorized data access. Violations are subject to disciplinary action up to and including termination.
