Nyt GoGlobal Agentisk økonomi med lokal ekspertise i over 85 lande Læs meddelelsen

Trust Center

Bygget til at have tillid til.

Sikkerhed, privatliv, compliance og robusthed er bygget ind i Light fra bunden. Udforsk vores kontroller, certificeringer, politikker og dokumentation.

Anmod om dokumenter Se kontrollerne

5 kontrolområder, 6 rammeværk · gennemgået 27. aug. 26

Tårne, der rejser sig mod en overskyet himmel

Uafhængigt
undersøgt

  1. 1

    SOC 2 Type II

    Sikkerhedskriterier undersøgt af Prescient Assurance. Konklusion uden forbehold, ingen afvigelser noteret.

    Certificeret
  2. 2

    SOC 1 Type II

    ICFR-relevante kontroller undersøgt af AAFCPA. Konklusion uden forbehold, ingen afvigelser noteret.

    Certificeret
  3. 3

    GDPR

    Light Company ApS er dataansvarlig og databehandler i EU og har arbejdet under GDPR siden stiftelsen.

    Overholder
  4. 4

    SOX-parathed

    Funktionsadskillelse, uforanderligt revisionsspor og ICFR-tilpassede kontroller til programmer under Section 302 og 404.

    Understøttet
  5. 5

    ISO 27001-infrastruktur

    Light kører kun hos cloududbydere, hvis datacentre har ISO 27001- og SOC 2-erklæringer.

    Arvet
  6. 6

    EU AI Act

    Light opfylder sine forpligtelser som udbyder og idriftsætter i EU under forordning (EU) 2024/1689, herunder gennemsigtighed, menneskeligt tilsyn og sporbarhed for de agenter, der handler i jeres hovedbog.

    Overholder

Dokumenter

De offentlige dokumenter er linket nedenfor. Rapporterne er fortrolige og udleveres under NDA, som regel inden for én arbejdsdag. For at anmode om en rapport: klik Anmod, eller skriv til compliance@light.inc med den rapport, I har brug for, jeres virksomhed og jeres rolle.

Kontroller

Foranstaltningerne bag certifikaterne, grupperet efter hvad de beskytter.

  1. 1Infrastruktursikkerhed12
  2. 2Organisatorisk sikkerhed10
  3. 3Produktsikkerhed4
  4. 4Interne sikkerhedsprocedurer30
  5. 5Data og privatliv3

Infrastruktursikkerhed

Hvordan den platform, jeres hovedbog kører på, er bygget, isoleret og overvåget.

  • Adgang til krypteringsnøgler begrænsetVirksomheden begrænser privilegeret adgang til krypteringsnøgler til autoriserede brugere med et forretningsmæssigt behov.
  • Autentificering med unikke konti håndhævetVirksomheden kræver, at autentificering til systemer og applikationer sker med unikt brugernavn og adgangskode eller autoriserede Secure Socket Shell-nøgler (SSH).
  • Adgang til produktionsapplikationer begrænsetSystemadgang begrænset til autoriseret adgang.
  • Procedurer for adgangskontrol etableretVirksomhedens politik for adgangskontrol dokumenterer kravene til følgende adgangskontrolfunktioner: oprettelse af nye brugere, ændring af brugere og/eller fjernelse af en eksisterende brugers adgang.
  • MFA ved fjernadgang håndhævetVirksomhedens produktionssystemer kan kun tilgås eksternt af autoriserede medarbejdere med en gyldig metode til multifaktorautentificering (MFA).
  • Infrastrukturens ydeevne overvågetEt værktøj til infrastrukturovervågning bruges til at overvåge systemer, infrastruktur og ydeevne og udsender alarmer, når bestemte foruddefinerede tærskler nås.
  • Netværkssegmentering implementeretVirksomhedens netværk er segmenteret for at forhindre uautoriseret adgang til kundedata.
  • Netværksfirewalls gennemgåetVirksomheden gennemgår sine firewallregelsæt mindst én gang om året. Nødvendige ændringer følges til de er gennemført.
  • Netværksfirewalls anvendtVirksomheden bruger firewalls og konfigurerer dem til at forhindre uautoriseret adgang.
  • Autentificering med unikke konti til netværkssystemer håndhævetVirksomheden kræver, at autentificering til produktionsnetværket sker med unikke brugernavne og adgangskoder eller autoriserede Secure Socket Shell-nøgler (SSH).
  • Adgang til firewall begrænsetVirksomheden begrænser privilegeret adgang til firewallen til autoriserede brugere med et forretningsmæssigt behov.
  • Krypteret fjernadgang håndhævetVirksomhedens produktionssystemer kan kun tilgås eksternt af autoriserede medarbejdere via en godkendt krypteret forbindelse.

Organisatorisk sikkerhed

Den menneskelige side: ansættelse, enheder, adfærd og bortskaffelse.

  • Procedurer for bortskaffelse af aktiver anvendtVirksomheden sørger for, at elektroniske medier med fortrolige oplysninger slettes eller destrueres i overensstemmelse med bedste praksis, og der udstedes destruktionscertifikater for hver destrueret enhed.
  • Anti-malware-teknologi anvendtVirksomheden anvender anti-malware-teknologi i miljøer, der typisk er udsatte for ondsindede angreb, og konfigurerer den til at blive opdateret rutinemæssigt, logget og installeret på alle relevante systemer.
  • Fortrolighedsaftale anerkendt af medarbejdereVirksomheden kræver, at medarbejdere underskriver en fortrolighedsaftale under onboarding.
  • Medarbejderevalueringer gennemførtVirksomhedens ledere skal gennemføre medarbejderevalueringer for deres direkte rapporterende mindst én gang om året.
  • MDM-system anvendtVirksomheden har et system til håndtering af mobile enheder (MDM), der centralt styrer de mobile enheder, som understøtter tjenesten.
  • Baggrundstjek af medarbejdere udført gennem en grundig screeningsprocesVirksomheden udfører baggrundstjek af nye medarbejdere.
  • Adfærdskodeks anerkendt af medarbejdere og håndhævetVirksomheden kræver, at medarbejdere anerkender et adfærdskodeks ved ansættelsen. Medarbejdere, der overtræder adfærdskodekset, kan mødes med disciplinære sanktioner i henhold til en disciplinærpolitik.
  • Procedurer for besøgende håndhævetVirksomheden kræver, at besøgende skriver sig ind, bærer et gæsteskilt og ledsages af en autoriseret medarbejder ved adgang til datacentret eller sikrede områder.
  • Adfærdskodeks anerkendt af kontraktansatteVirksomheden kræver, at aftaler med kontraktansatte indeholder et adfærdskodeks eller en henvisning til virksomhedens adfærdskodeks.
  • Fortrolighedsaftale anerkendt af kontraktansatteVirksomheden kræver, at kontraktansatte underskriver en fortrolighedsaftale ved engagementets start.

Produktsikkerhed

Hvordan selve softwaren skrives, testes og efterprøves, før den når jer.

  • Datakryptering anvendtVirksomhedens datalagre med følsomme kundedata er krypteret i hvile.
  • Selvevalueringer af kontroller gennemførtVirksomheden gennemfører selvevalueringer af kontroller mindst én gang om året for at sikre, at kontrollerne er på plads og fungerer effektivt. Der træffes korrigerende handlinger på baggrund af relevante fund. Hvis virksomheden har forpligtet sig til en SLA for et fund, gennemføres den korrigerende handling inden for denne SLA.
  • Penetrationstest udførtVirksomhedens penetrationstest udføres mindst én gang om året. Der udarbejdes en udbedringsplan, og ændringer implementeres for at udbedre sårbarheder i overensstemmelse med SLA'er.
  • Procedurer for sårbarheds- og systemovervågning etableretVirksomhedens formelle politikker beskriver kravene til følgende funktioner inden for IT/Engineering: sårbarhedsstyring og systemovervågning.

Interne sikkerhedsprocedurer

Programmet bag kontrollerne: governance, risiko, hændelser, leverandører og kontinuitet.

  • Planer for kontinuitet og katastrofeberedskab etableretVirksomheden har planer for forretningskontinuitet og katastrofeberedskab, der beskriver kommunikationsplaner, så informationssikkerheden kan opretholdes, hvis nøglepersoner ikke er tilgængelige.
  • Planer for kontinuitet og katastrofeberedskab testetVirksomheden har en dokumenteret plan for forretningskontinuitet og katastrofeberedskab (BC/DR) og tester den mindst én gang om året.
  • Cybersikkerhedsforsikring opretholdtVirksomheden har en cybersikkerhedsforsikring for at begrænse de økonomiske følger af driftsforstyrrelser.
  • System til konfigurationsstyring etableretVirksomheden har en procedure for konfigurationsstyring, der sikrer, at systemkonfigurationer udrulles ensartet i hele miljøet.
  • Udviklingslivscyklus etableretVirksomheden har en formel metode for systemudviklingens livscyklus (SDLC), der styrer udvikling, anskaffelse, implementering, ændringer (herunder hasteændringer) og vedligeholdelse af informationssystemer og tilhørende teknologikrav.
  • Whistleblowerpolitik etableretVirksomheden har en formaliseret whistleblowerpolitik, og der findes en anonym kommunikationskanal, hvor brugere kan indberette mulige problemer eller mistanke om svig.
  • Orienteringer af bestyrelsen gennemførtVirksomhedens bestyrelse eller et relevant udvalg orienteres af den øverste ledelse mindst én gang om året om status på virksomhedens cybersikkerheds- og privatlivsrisici. Bestyrelsen giver ledelsen feedback og retning efter behov.
  • Bestyrelsens forretningsorden dokumenteretVirksomhedens bestyrelse har en dokumenteret forretningsorden, der beskriver dens tilsynsansvar for intern kontrol.
  • Bestyrelsens ekspertise udvikletVirksomhedens bestyrelsesmedlemmer har tilstrækkelig ekspertise til at føre tilsyn med ledelsens evne til at designe, implementere og drive kontroller for informationssikkerhed. Bestyrelsen inddrager eksterne eksperter og konsulenter inden for informationssikkerhed efter behov.
  • Bestyrelsesmøder afholdtVirksomhedens bestyrelse mødes mindst én gang om året og fører formelle mødereferater. Bestyrelsen omfatter medlemmer, der er uafhængige af virksomheden.
  • Backupprocesser etableretVirksomhedens politik for databackup dokumenterer kravene til backup og gendannelse af kundedata.
  • Ledelsens roller og ansvar defineretVirksomhedens ledelse har fastlagt definerede roller og ansvar for at føre tilsyn med design og implementering af kontroller for informationssikkerhed.
  • Organisationsstruktur dokumenteretVirksomheden har et organisationsdiagram, der beskriver organisationsstrukturen og rapporteringslinjerne.
  • Roller og ansvar fastlagtRoller og ansvar for design, udvikling, implementering, drift, vedligeholdelse og overvågning af kontroller for informationssikkerhed er formelt tildelt i stillingsbeskrivelser og/eller politikken for roller og ansvar.
  • Sikkerhedspolitikker etableret og gennemgåetVirksomhedens politikker og procedurer for informationssikkerhed er dokumenteret og gennemgås mindst én gang om året.
  • Adgangsanmodninger påkrævetVirksomheden sikrer, at brugeradgang til systemkomponenter inden for scope er baseret på jobrolle og funktion eller kræver en dokumenteret adgangsanmodning og godkendelse fra lederen, før adgangen tildeles.
  • Beredskabsplan for hændelser testetVirksomheden tester sin beredskabsplan for hændelser mindst én gang om året.
  • Politikker for hændelseshåndtering etableretVirksomheden har politikker og procedurer for håndtering af sikkerheds- og privatlivshændelser, som er dokumenteret og kommunikeret til autoriserede brugere.
  • Procedurer for hændelsesstyring fulgtVirksomhedens sikkerheds- og privatlivshændelser logges, følges, løses og kommunikeres af ledelsen til berørte eller relevante parter i henhold til virksomhedens politik og procedurer for håndtering af sikkerhedshændelser.
  • Virksomhedens forpligtelser kommunikeret eksterntVirksomhedens sikkerhedsforpligtelser kommunikeres til kunderne i Master Service Agreements (MSA) eller servicevilkår (TOS).
  • Eksterne supportressourcer tilgængeligeVirksomheden giver kunderne retningslinjer og tekniske supportressourcer vedrørende systemdriften.
  • Servicebeskrivelse kommunikeretVirksomheden giver interne og eksterne brugere en beskrivelse af sine produkter og tjenester.
  • Risikovurderinger udførtVirksomhedens risikovurderinger udføres mindst én gang om året. Som en del af processen identificeres trusler mod og ændringer (miljømæssige, regulatoriske og teknologiske) i serviceforpligtelserne, og risiciene vurderes formelt. Risikovurderingen omfatter en vurdering af muligheden for svig, og hvordan svig kan påvirke opfyldelsen af målene.
  • Program for risikostyring etableretVirksomheden har et dokumenteret program for risikostyring, der omfatter vejledning i at identificere mulige trusler, vurdere betydningen af de risici, der knytter sig til de identificerede trusler, og strategier til at afbøde disse risici.
  • Mål for risikovurdering fastlagtVirksomheden fastlægger sine mål, så risici i relation til målene kan identificeres og vurderes.
  • Aftaler med tredjeparter etableretVirksomheden har skriftlige aftaler med leverandører og relaterede tredjeparter. Aftalerne omfatter forpligtelser om fortrolighed og privatliv, der gælder for den pågældende enhed.
  • Program for leverandørstyring etableretVirksomheden har et program for leverandørstyring. Programmet omfatter: en oversigt over kritiske tredjepartsleverandører, leverandørernes krav til sikkerhed og privatliv samt gennemgang af kritiske tredjepartsleverandører mindst én gang om året.
  • Systemændringer kommunikeret eksterntVirksomheden underretter kunderne om kritiske systemændringer, der kan påvirke deres behandling.
  • Systemændringer kommunikeretVirksomheden kommunikerer systemændringer til autoriserede interne brugere.
  • Supportsystem tilgængeligtVirksomheden har et eksternt supportsystem, hvor brugere kan indberette systemoplysninger om fejl, hændelser, bekymringer og andre klager til relevante medarbejdere.

Data og privatliv

Hvad Light gør med jeres data, hvordan de klassificeres, og hvornår de forsvinder.

  • Procedurer for dataopbevaring etableretVirksomheden har formelle procedurer for opbevaring og bortskaffelse, der sikrer sikker opbevaring og bortskaffelse af virksomhedens og kundernes data.
  • Politik for dataklassificering etableretVirksomheden har en politik for dataklassificering, der er med til at sikre, at fortrolige data beskyttes korrekt og kun er tilgængelige for autoriserede medarbejdere.
  • Kundedata slettet ved ophørVirksomheden sletter eller fjerner kundedata med fortrolige oplysninger fra applikationsmiljøet i overensstemmelse med bedste praksis, når kunder forlader tjenesten.

Hvor jeres
data bor

Ét svar, og det ændrer sig ikke afhængigt af, hvem der spørger.

I Den Europæiske Union

Lights centrale backend kører på AWS i Irland i et HIPAA-kompatibelt miljø. Backups opbevares på separate lokationer, så én fejl ikke kan ramme begge. Light arbejder kun med cloududbydere, hvis datacentre har SOC 2- og ISO 27001-erklæringer.

Krypteret fra ende til ende

Nyere TLS på hver forbindelse: fra browser til applikation, fra applikation til jeres ERP eller bank og internt mellem Lights egne tjenester og databaser. Data i hvile er krypteret, og legitimationsoplysninger ligger i AWS Secrets Manager i stedet for i koden.

Opbevaret så kort tid som muligt

Light er designet til ikke at gemme personhenførbare oplysninger under synkronisering: systemet findes for at flytte data, ikke for at profilere dem. Når en kontrakt ophører, får I tilbudt en eksport, og data slettes 90 dage senere, medmindre loven kræver andet.

Hænder, der skriver på en bærbar ved et skrivebord

Agenter, og hvad de må

Light kører en arbejdsstyrke af agenter på jeres hovedbog. Det rejser spørgsmål, som et konventionelt ERP aldrig har skullet besvare.

  1. 1

    Jeres data træner ikke andres modeller

    Kundedata bidrager aldrig til træning af tredjeparters foundation-modeller. De udbydere, Light kalder, behandler dem under aftaler, der forbyder træning på dem, og hver enkelt ser kun det minimum, opgaven kræver. Light forbeholder sig dog retten til at træne og forbedre modeller på jeres data, hvor det gør tjenesten bedre for jer. Databehandleraftalen fastlægger vilkårene.

  2. 2

    Hver handling kan henføres

    Agenter arbejder inden for den samme rettighedsmodel som mennesker. Hver ændring havner i det samme uforanderlige revisionsspor, med hvem eller hvad der foretog den, hvornår og hvorfor, og en skrivebeskyttet revisionsagent efterprøver arbejdet uafhængigt.

  3. 3

    I sætter grænserne

    Godkendelsesgrænser, funktionsadskillelse og rollebaserede rettigheder kan konfigureres pr. selskab, så en agents beføjelser er en beslutning, jeres controller træffer, ikke en standard, I arver.

Spørgsmål, vi får

Har I spørgsmål? Skriv til compliance@light.inc

Hvor opbevares vores data?

I Den Europæiske Union. Lights centrale backend kører på AWS i Irland, og backups opbevares på separate lokationer af hensyn til robusthed. Light arbejder kun med cloududbydere, hvis datacentre har SOC 2- og ISO 27001-erklæringer.

Bruges vores data til at træne AI-modeller?

Ikke af andre. Kundedata bidrager aldrig til træning af tredjeparters foundation-modeller: de modeludbydere, Light kalder, behandler data under aftaler, der forbyder træning på dem, og Light anvender mindst mulige rettigheder over for hver underdatabehandler, så hvert system kun ser det nødvendige minimum af data. Light selv forbeholder sig retten til at træne og forbedre modeller på kundedata, hvor det gør tjenesten bedre for den kunde, dataene tilhører. Databehandleraftalen fastlægger de gældende vilkår.

Kan agenter handle i vores hovedbog uden et menneske?

Agenter arbejder inden for den samme rettighedsmodel som mennesker, og hver handling, de foretager, skrives til det samme uforanderlige revisionsspor: hvem eller hvad der foretog ændringen, hvornår og hvorfor. En skrivebeskyttet revisionsagent efterprøver arbejdet. Godkendelsesgrænser og funktionsadskillelse kan konfigureres pr. selskab.

Hvordan får vi SOC 2-rapporten?

Anmod om den nedenfor. De fulde SOC 2 Type II- og SOC 1 Type II-rapporter er fortrolige og deles med kunder, potentielle kunder og deres revisorer under NDA, som regel inden for én arbejdsdag.

Hvor hurtigt får vi besked om en sikkerhedshændelse?

Berørte kunder underrettes uden unødig forsinkelse og senest 36 timer efter opdagelsen, før de 72 timer, GDPR kræver af dataansvarlige.

Understøtter I single sign-on?

Light tilbyder rollebaserede rettigheder og multifaktorautentificering fra start, med autentificering håndteret af Auth0. Tal med os om jeres identitetsudbyder og krav til provisionering, så bekræfter vi, hvad der understøttes i jeres opsætning.

Hvad sker der med vores data, hvis vi stopper?

I får først tilbudt en eksport. Kundedata slettes derefter 90 dage efter kontraktens ophør, medmindre en længere opbevaringsperiode er lovpligtig.

Hvem kontakter vi om en sårbarhed?

Skriv til security@light.inc. Light undersøger hver indberetning og vil ikke forfølge forskere, der tester i god tro, holder sig inden for rammerne af deres egen konto og undgår krænkelser af privatlivet eller forringelse af tjenesten.

Hvad bør vores sikkerhedsgennemgang dække, før vi vælger en AI-regnskabsplatform?

Gennemgå omfanget og perioden for de rapporter, I modtager, de systemer og kontroller, der er undersøgt, og de forpligtelser, jeres egen organisation skal opfylde. Sammenhold jeres krav til adgang, dataplacering, underdatabehandlere, robusthed og revisionsdokumentation med de aktuelle sikkerhedsdokumenter og databehandleraftalen. Send jurisdiktionsspecifikke krav til Lights sikkerhedsteam til vurdering i stedet for at betragte navnet på en certificering som svaret på ethvert krav.

Hvordan bør vi teste godkendelser, revisionsdokumentation og dataeksport?

Bed Light-teamet om at demonstrere en tilladt handling, en afvist handling og en rettelse med historikken intakt. Aftal, hvilke registreringer, bilag og formater jeres økonomiteam skal gemme eller eksportere, test derefter et repræsentativt udsnit, og afstem totalerne. Bekræft de kontraktlige vilkår for opbevaring og exit ud fra databehandleraftalen og servicevilkårene.

Book en demo