Nytt GoGlobal Agentdrevet økonomi med lokal ekspertise i over 85 land Les kunngjøringen

Trust Center

Bygget for å være til å stole på.

Sikkerhet, personvern, etterlevelse og robusthet er bygget inn i Light fra grunnen av. Utforsk kontrollene, sertifiseringene, retningslinjene og dokumentasjonen vår.

Be om dokumenter Se kontrollene

5 kontrollområder, 6 rammeverk · gjennomgått 27. aug. 26

Tårn som reiser seg mot en skyet himmel

Uavhengig
undersøkt

  1. 1

    SOC 2 Type II

    Sikkerhetskriteriene er undersøkt av Prescient Assurance. Konklusjon uten forbehold, ingen avvik funnet.

    Sertifisert
  2. 2

    SOC 1 Type II

    ICFR-relevante kontroller er undersøkt av AAFCPA. Konklusjon uten forbehold, ingen avvik funnet.

    Sertifisert
  3. 3

    GDPR

    Light Company ApS er behandlingsansvarlig og databehandler i EU, og har vært underlagt GDPR siden stiftelsen.

    I samsvar
  4. 4

    SOX-beredskap

    Arbeidsdeling, uforanderlig revisjonsspor og ICFR-tilpassede kontroller for programmer etter Section 302 og 404.

    Støttet
  5. 5

    ISO 27001-infrastruktur

    Light kjører bare hos skyleverandører med datasentre som har ISO 27001- og SOC 2-attestasjoner.

    Arvet
  6. 6

    EUs AI-forordning

    Light oppfyller sine forpliktelser som leverandør og idriftsetter i EU etter forordning (EU) 2024/1689, som omfatter åpenhet, menneskelig tilsyn og sporbarhet for agentene som handler i hovedboken deres.

    I samsvar

Dokumenter

De offentlige dokumentene er lenket nedenfor. Rapportene er konfidensielle og sendes ut under NDA, vanligvis innen én virkedag. For å be om en rapport, klikk Be om eller send en e-post til compliance@light.inc med rapporten dere trenger, selskapet og rollen deres.

Kontroller

Tiltakene bak sertifikatene, gruppert etter hva de beskytter.

  1. 1Infrastruktursikkerhet12
  2. 2Organisatorisk sikkerhet10
  3. 3Produktsikkerhet4
  4. 4Interne sikkerhetsprosedyrer30
  5. 5Data og personvern3

Infrastruktursikkerhet

Hvordan plattformen hovedboken deres kjører på er bygget, isolert og overvåket.

  • Tilgang til krypteringsnøkler er begrensetSelskapet begrenser privilegert tilgang til krypteringsnøkler til autoriserte brukere med et forretningsmessig behov.
  • Autentisering med unike kontoer håndhevesSelskapet krever at autentisering til systemer og applikasjoner skjer med unikt brukernavn og passord eller autoriserte SSH-nøkler (Secure Socket Shell).
  • Tilgang til produksjonsapplikasjoner er begrensetSystemtilgang er begrenset til autorisert tilgang.
  • Prosedyrer for tilgangskontroll er etablertSelskapets retningslinje for tilgangskontroll dokumenterer kravene til følgende funksjoner for tilgangskontroll: å legge til nye brukere, å endre brukere og/eller å fjerne tilgangen til en eksisterende bruker.
  • MFA for fjerntilgang håndhevesSelskapets produksjonssystemer kan bare nås eksternt av autoriserte ansatte med en gyldig metode for flerfaktorautentisering (MFA).
  • Infrastrukturens ytelse overvåkesEt verktøy for infrastrukturovervåking brukes til å overvåke systemer, infrastruktur og ytelse, og genererer varsler når bestemte forhåndsdefinerte terskler nås.
  • Nettverkssegmentering er implementertSelskapets nettverk er segmentert for å hindre uautorisert tilgang til kundedata.
  • Nettverksbrannmurer gjennomgåsSelskapet gjennomgår regelsettene for brannmurene minst én gang i året. Nødvendige endringer følges opp til de er fullført.
  • Nettverksbrannmurer brukesSelskapet bruker brannmurer og konfigurerer dem for å hindre uautorisert tilgang.
  • Autentisering med unike kontoer til nettverkssystemer håndhevesSelskapet krever at autentisering til produksjonsnettverket skjer med unike brukernavn og passord eller autoriserte SSH-nøkler (Secure Socket Shell).
  • Tilgang til brannmuren er begrensetSelskapet begrenser privilegert tilgang til brannmuren til autoriserte brukere med et forretningsmessig behov.
  • Kryptert fjerntilgang håndhevesSelskapets produksjonssystemer kan bare nås eksternt av autoriserte ansatte via en godkjent kryptert forbindelse.

Organisatorisk sikkerhet

Den menneskelige siden: ansettelser, enheter, oppførsel og avhending.

  • Prosedyrer for avhending av eiendeler brukesSelskapet sørger for at elektroniske medier med konfidensiell informasjon slettes eller destrueres i tråd med beste praksis, og det utstedes destruksjonssertifikat for hver enhet som destrueres.
  • Teknologi mot skadevare brukesSelskapet tar i bruk teknologi mot skadevare i miljøer som ofte er utsatt for ondsinnede angrep, og konfigurerer den slik at den oppdateres jevnlig, loggføres og er installert på alle relevante systemer.
  • Taushetserklæring bekreftet av ansatteSelskapet krever at ansatte signerer en taushetserklæring ved onboarding.
  • Medarbeidersamtaler gjennomføresSelskapets ledere må gjennomføre medarbeidersamtaler med sine direkte rapporter minst én gang i året.
  • MDM-system brukesSelskapet har et system for mobilenhetsadministrasjon (MDM) for sentral administrasjon av mobile enheter som støtter tjenesten.
  • Bakgrunnssjekker av ansatte gjennomføres i en grundig kontrollprosessSelskapet gjennomfører bakgrunnssjekker av nyansatte.
  • Etiske retningslinjer bekreftet av ansatte og håndhevetSelskapet krever at ansatte bekrefter de etiske retningslinjene ved ansettelse. Ansatte som bryter de etiske retningslinjene, blir møtt med disiplinærtiltak i tråd med en disiplinærpolicy.
  • Prosedyrer for besøkende håndhevesSelskapet krever at besøkende registrerer seg, bærer besøksskilt og følges av en autorisert ansatt når de har tilgang til datasenteret eller sikre områder.
  • Etiske retningslinjer bekreftet av innleideSelskapet krever at avtaler med innleide inneholder etiske retningslinjer eller en henvisning til selskapets etiske retningslinjer.
  • Taushetserklæring bekreftet av innleideSelskapet krever at innleide signerer en taushetserklæring når oppdraget starter.

Produktsikkerhet

Hvordan selve programvaren skrives, testes og verifiseres før den når dere.

  • Datakryptering brukesSelskapets datalagre med sensitive kundedata er kryptert ved lagring.
  • Egenvurderinger av kontroller gjennomføresSelskapet gjennomfører egenvurderinger av kontrollene minst én gang i året for å få sikkerhet for at kontrollene er på plass og fungerer effektivt. Korrigerende tiltak iverksettes basert på relevante funn. Har selskapet forpliktet seg til en SLA for et funn, fullføres det korrigerende tiltaket innenfor den SLA-en.
  • Penetrasjonstesting gjennomføresSelskapets penetrasjonstesting gjennomføres minst én gang i året. En utbedringsplan utarbeides, og endringer gjennomføres for å utbedre sårbarheter i tråd med SLA-er.
  • Prosedyrer for sårbarhets- og systemovervåking er etablertSelskapets formelle retningslinjer beskriver kravene til følgende funksjoner innen IT/utvikling: sårbarhetshåndtering og systemovervåking.

Interne sikkerhetsprosedyrer

Programmet bak kontrollene: styring, risiko, hendelser, leverandører og kontinuitet.

  • Planer for kontinuitet og katastrofegjenoppretting er etablertSelskapet har planer for forretningskontinuitet og katastrofegjenoppretting som beskriver kommunikasjonsplaner for å opprettholde kontinuiteten i informasjonssikkerheten dersom nøkkelpersoner ikke er tilgjengelige.
  • Planer for kontinuitet og katastrofegjenoppretting er testetSelskapet har en dokumentert plan for forretningskontinuitet og katastrofegjenoppretting (BC/DR) og tester den minst én gang i året.
  • Cyberforsikring opprettholdesSelskapet har cyberforsikring for å redusere de økonomiske konsekvensene av driftsavbrudd.
  • System for konfigurasjonsstyring er etablertSelskapet har en prosedyre for konfigurasjonsstyring som sikrer at systemkonfigurasjoner rulles ut konsistent i hele miljøet.
  • Utviklingslivssyklus er etablertSelskapet har en formell metodikk for systemutviklingens livssyklus (SDLC) som styrer utvikling, anskaffelse, implementering, endringer (inkludert nødendringer) og vedlikehold av informasjonssystemer og tilhørende teknologikrav.
  • Varslingspolicy er etablertSelskapet har etablert en formalisert varslingspolicy, og det finnes en anonym kommunikasjonskanal der brukere kan melde fra om mulige problemer eller mistanke om svindel.
  • Orienteringer til styret gjennomføresSelskapets styre, eller et relevant underutvalg, orienteres av toppledelsen minst én gang i året om status for selskapets risiko knyttet til cybersikkerhet og personvern. Styret gir tilbakemeldinger og føringer til ledelsen ved behov.
  • Styreinstruks er dokumentertSelskapets styre har en dokumentert instruks som beskriver styrets tilsynsansvar for internkontroll.
  • Styrekompetanse er utvikletSelskapets styremedlemmer har tilstrekkelig kompetanse til å føre tilsyn med ledelsens evne til å utforme, implementere og drive kontroller for informasjonssikkerhet. Styret engasjerer eksterne eksperter og rådgivere innen informasjonssikkerhet ved behov.
  • Styremøter gjennomføresSelskapets styre møtes minst én gang i året og fører formelle møteprotokoller. Styret har medlemmer som er uavhengige av selskapet.
  • Prosesser for sikkerhetskopiering er etablertSelskapets retningslinje for sikkerhetskopiering dokumenterer kravene til sikkerhetskopiering og gjenoppretting av kundedata.
  • Ledelsens roller og ansvar er definertSelskapets ledelse har etablert definerte roller og ansvar for å føre tilsyn med utforming og implementering av kontroller for informasjonssikkerhet.
  • Organisasjonsstrukturen er dokumentertSelskapet har et organisasjonskart som beskriver organisasjonsstrukturen og rapporteringslinjene.
  • Roller og ansvar er spesifisertRoller og ansvar for utforming, utvikling, implementering, drift, vedlikehold og overvåking av kontroller for informasjonssikkerhet er formelt tildelt i stillingsbeskrivelser og/eller i retningslinjen for roller og ansvar.
  • Sikkerhetsretningslinjer er etablert og gjennomgåttSelskapets retningslinjer og prosedyrer for informasjonssikkerhet er dokumentert og gjennomgås minst én gang i året.
  • Tilgangsforespørsler krevesSelskapet sikrer at brukertilgang til systemkomponenter innenfor omfanget er basert på stillingsrolle og funksjon, eller krever et dokumentert skjema for tilgangsforespørsel og godkjenning fra leder før tilgang gis.
  • Beredskapsplanen for hendelser er testetSelskapet tester beredskapsplanen for hendelser minst én gang i året.
  • Retningslinjer for hendelseshåndtering er etablertSelskapet har retningslinjer og prosedyrer for håndtering av sikkerhets- og personvernhendelser som er dokumentert og kommunisert til autoriserte brukere.
  • Prosedyrer for hendelseshåndtering følgesSelskapets sikkerhets- og personvernhendelser loggføres, følges opp, løses og kommuniseres til berørte eller relevante parter av ledelsen i tråd med selskapets retningslinjer og prosedyrer for håndtering av sikkerhetshendelser.
  • Selskapets forpliktelser er kommunisert eksterntSelskapets sikkerhetsforpliktelser kommuniseres til kundene i rammeavtaler (MSA) eller vilkår for bruk (TOS).
  • Eksterne støtteressurser er tilgjengeligeSelskapet gir kundene retningslinjer og tekniske støtteressurser knyttet til systemdriften.
  • Tjenestebeskrivelsen er kommunisertSelskapet gir interne og eksterne brukere en beskrivelse av sine produkter og tjenester.
  • Risikovurderinger gjennomføresSelskapets risikovurderinger gjennomføres minst én gang i året. Som en del av denne prosessen identifiseres trusler og endringer (miljømessige, regulatoriske og teknologiske) som påvirker tjenesteforpliktelsene, og risikoene vurderes formelt. Risikovurderingen omfatter en vurdering av muligheten for svindel og hvordan svindel kan påvirke måloppnåelsen.
  • Program for risikostyring er etablertSelskapet har et dokumentert program for risikostyring som inneholder veiledning for å identifisere mulige trusler, vurdere hvor alvorlige risikoene knyttet til de identifiserte truslene er, og strategier for å redusere disse risikoene.
  • Mål for risikovurderingen er spesifisertSelskapet spesifiserer målene sine slik at risiko knyttet til målene kan identifiseres og vurderes.
  • Avtaler med tredjeparter er etablertSelskapet har skriftlige avtaler med leverandører og tilknyttede tredjeparter. Disse avtalene inneholder forpliktelser om konfidensialitet og personvern som gjelder for den aktuelle parten.
  • Program for leverandørstyring er etablertSelskapet har et program for leverandørstyring. Programmet omfatter blant annet en oversikt over kritiske tredjepartsleverandører, leverandørenes krav til sikkerhet og personvern, og gjennomgang av kritiske tredjepartsleverandører minst én gang i året.
  • Systemendringer kommuniseres eksterntSelskapet varsler kundene om kritiske systemendringer som kan påvirke behandlingen deres.
  • Systemendringer kommuniseresSelskapet kommuniserer systemendringer til autoriserte interne brukere.
  • Supportsystem er tilgjengeligSelskapet har et eksternt supportsystem der brukere kan melde fra om feil, hendelser, bekymringer og andre klager til riktig personell.

Data og personvern

Hva Light gjør med dataene deres, hvordan de klassifiseres og når de slettes.

  • Prosedyrer for oppbevaring av data er etablertSelskapet har formelle prosedyrer for oppbevaring og sletting som styrer sikker oppbevaring og sletting av selskapets og kundenes data.
  • Retningslinje for dataklassifisering er etablertSelskapet har en retningslinje for dataklassifisering som bidrar til at konfidensielle data er tilstrekkelig sikret og bare tilgjengelige for autorisert personell.
  • Kundedata slettes ved avslutningSelskapet sletter eller fjerner kundedata med konfidensiell informasjon fra applikasjonsmiljøet, i tråd med beste praksis, når kunder avslutter tjenesten.

Hvor dataene
deres ligger

Ett svar, og det endrer seg ikke avhengig av hvem som spør.

I EU

Lights kjernebackend kjører på AWS i Irland, i en HIPAA-kompatibel installasjon. Sikkerhetskopier oppbevares på separate lokasjoner, slik at én enkelt feil ikke kan ta begge. Light jobber bare med skyleverandører med datasentre som har SOC 2- og ISO 27001-attestasjoner.

Kryptert fra ende til ende

Nyere TLS på hver forbindelse: fra nettleser til applikasjon, fra applikasjon til ERP-et eller banken deres, og internt mellom Lights egne tjenester og databaser. Lagrede data er kryptert, og påloggingsdata ligger i AWS Secrets Manager i stedet for i koden.

Oppbevart så kort som mulig

Light er utformet for ikke å lagre personidentifiserbar informasjon under synkronisering: plattformen finnes for å flytte data, ikke for å profilere dem. Når en kontrakt avsluttes, får dere tilbud om en eksport, og dataene slettes 90 dager senere med mindre loven krever noe annet.

Hender som skriver på en bærbar PC ved en pult

Agenter, og hva de har lov til å gjøre

Light kjører en arbeidsstyrke av agenter på hovedboken deres. Det reiser spørsmål et konvensjonelt ERP aldri har måttet svare på.

  1. 1

    Dataene deres trener ikke andres modeller

    Kundedata brukes aldri til trening av tredjeparters grunnmodeller. Leverandørene Light bruker, behandler dataene under avtaler som forbyr trening på dem, og hver av dem ser bare det minimum oppgaven krever. Light forbeholder seg likevel retten til å trene og forbedre modeller på dataene deres der det gjør tjenesten bedre for dere; databehandleravtalen fastsetter vilkårene.

  2. 2

    Hver handling kan spores

    Agentene jobber innenfor den samme tilgangsmodellen som mennesker. Hver endring havner i det samme uforanderlige revisjonssporet, med hvem eller hva som gjorde den, når og hvorfor, og en internrevisjonsagent med kun lesetilgang kontrollerer arbeidet uavhengig.

  3. 3

    Dere setter grensene

    Godkjenningsgrenser, arbeidsdeling og rollebaserte tilganger kan konfigureres per selskap, så en agents fullmakt er en beslutning controlleren deres tar, ikke en standard dere arver.

Spørsmål vi får

Har dere spørsmål? Skriv til compliance@light.inc

Hvor lagres dataene våre?

I EU. Lights kjernebackend kjører på AWS i Irland, og sikkerhetskopier oppbevares på separate lokasjoner for robusthet. Light jobber bare med skyleverandører med datasentre som har SOC 2- og ISO 27001-attestasjoner.

Brukes dataene våre til å trene AI-modeller?

Ikke av noen andre. Kundedata brukes aldri til trening av tredjeparters grunnmodeller: modelleverandørene Light bruker, behandler data under avtaler som forbyr trening på dem, og Light bruker prinsippet om minste privilegium for hver underleverandør, slik at hvert system bare ser det minimum av data som kreves. Light selv forbeholder seg retten til å trene og forbedre modeller på kundedata der det gjør tjenesten bedre for kunden dataene tilhører. Databehandleravtalen fastsetter de gjeldende vilkårene.

Kan agenter handle i hovedboken vår uten et menneske?

Agentene jobber innenfor den samme tilgangsmodellen som mennesker, og hver handling de utfører, skrives til det samme uforanderlige revisjonssporet: hvem eller hva som gjorde endringen, når og hvorfor. En internrevisjonsagent med kun lesetilgang kontrollerer arbeidet. Godkjenningsgrenser og arbeidsdeling kan konfigureres per selskap.

Hvordan får vi SOC 2-rapporten?

Be om den nedenfor. De fullstendige SOC 2 Type II- og SOC 1 Type II-rapportene er konfidensielle og deles med kunder, potensielle kunder og deres revisorer under NDA, vanligvis innen én virkedag.

Hvor raskt får vi beskjed om en sikkerhetshendelse?

Berørte kunder varsles uten ugrunnet opphold og senest 36 timer etter at hendelsen er oppdaget, før de 72 timene GDPR krever av behandlingsansvarlige.

Støtter dere single sign-on?

Light tilbyr rollebaserte tilganger og flerfaktorautentisering rett ut av boksen, med autentisering håndtert av Auth0. Snakk med oss om identitetsleverandøren og kravene deres til tilgangsstyring, så bekrefter vi hva som støttes for oppsettet deres.

Hva skjer med dataene våre hvis vi slutter?

Dere får først tilbud om en eksport. Kundedata slettes deretter 90 dager etter at kontrakten er avsluttet, med mindre lengre oppbevaring er lovpålagt.

Hvem kontakter vi om en sårbarhet?

Send e-post til security@light.inc. Light undersøker hver rapport, og vil ikke gå etter forskere som tester i god tro, holder seg innenfor rammene av sin egen konto og unngår brudd på personvernet eller forringelse av tjenesten.

Hva bør sikkerhetsgjennomgangen vår dekke før vi velger en AI-plattform for regnskap?

Se gjennom omfanget og perioden for rapportene dere mottar, systemene og kontrollene som er undersøkt, og eventuelle forpliktelser deres egen organisasjon må oppfylle. Sammenlign kravene deres til tilgang, datalokasjon, underleverandører, robusthet og revisjonsdokumentasjon med gjeldende sikkerhetsdokumenter og databehandleravtalen. Send jurisdiksjonsspesifikke krav til Lights sikkerhetsteam for vurdering, i stedet for å behandle navnet på en sertifisering som svaret på alle krav.

Hvordan bør vi teste godkjenninger, revisjonsdokumentasjon og dataeksport?

Be Light-teamet demonstrere en tillatt handling, en avvist handling og en korrigering med historikken intakt. Bli enige om hvilke poster, vedlegg og formater økonomiteamet deres må oppbevare eller eksportere, og test deretter et representativt utvalg og avstem totalene. Bekreft avtalt oppbevaring og exit-ordninger opp mot databehandleravtalen og vilkårene for bruk.

Book en demo