Nytt GoGlobal AI-driven ekonomi med lokal expertis i över 85 länder Läs nyheten

Trust Center

Byggt för att förtjäna förtroende.

Säkerhet, integritet, efterlevnad och motståndskraft är inbyggt i Light från grunden. Utforska våra kontroller, certifieringar, policyer och vår dokumentation.

Begär dokument Se kontrollerna

5 kontrollområden, 6 ramverk · granskat 27 aug 26

Torn som reser sig mot en molnig himmel

Oberoende
granskat

  1. 1

    SOC 2 Type II

    Säkerhetskriterierna granskade av Prescient Assurance. Ren revisionsberättelse, inga avvikelser noterade.

    Certifierat
  2. 2

    SOC 1 Type II

    ICFR-relevanta kontroller granskade av AAFCPA. Ren revisionsberättelse, inga avvikelser noterade.

    Certifierat
  3. 3

    GDPR

    Light Company ApS är personuppgiftsansvarig och personuppgiftsbiträde inom EU och har verkat enligt GDPR sedan bolaget bildades.

    Uppfyller kraven
  4. 4

    SOX-beredskap

    Ansvarsfördelning, oföränderligt revisionsspår och ICFR-anpassade kontroller för program enligt Section 302 och 404.

    Stöds
  5. 5

    ISO 27001-infrastruktur

    Light körs bara hos molnleverantörer vars datacenter har ISO 27001- och SOC 2-attestationer.

    Ärvt
  6. 6

    EU:s AI-förordning

    Light uppfyller sina skyldigheter som leverantör och tillhandahållare inom EU enligt förordning (EU) 2024/1689, vilket omfattar transparens, mänsklig tillsyn och spårbarhet för de agenter som agerar i er huvudbok.

    Uppfyller kraven

Dokument

De offentliga dokumenten är länkade nedan. Rapporterna är konfidentiella och skickas ut under sekretessavtal (NDA), vanligtvis inom en arbetsdag. Begär en genom att klicka på Begär eller mejla compliance@light.inc med den rapport ni behöver, ert företag och er roll.

Kontroller

Åtgärderna bakom certifikaten, grupperade efter vad de skyddar.

  1. 1Infrastruktursäkerhet12
  2. 2Organisatorisk säkerhet10
  3. 3Produktsäkerhet4
  4. 4Interna säkerhetsrutiner30
  5. 5Data och integritet3

Infrastruktursäkerhet

Hur plattformen som er huvudbok körs på är byggd, isolerad och övervakad.

  • Åtkomst till krypteringsnycklar begränsadFöretaget begränsar privilegierad åtkomst till krypteringsnycklar till behöriga användare med ett verksamhetsbehov.
  • Autentisering med unika konton krävsFöretaget kräver att autentisering till system och applikationer sker med unikt användarnamn och lösenord eller med auktoriserade SSH-nycklar (Secure Socket Shell).
  • Åtkomst till produktionsapplikationen begränsadSystemåtkomst begränsad till enbart behörig åtkomst.
  • Rutiner för åtkomstkontroll fastställdaFöretagets policy för åtkomstkontroll dokumenterar kraven för följande funktioner: att lägga till nya användare, att ändra användare och/eller att ta bort en befintlig användares åtkomst.
  • MFA för fjärråtkomst krävsFöretagets produktionssystem kan bara nås på distans av behöriga anställda som har en giltig metod för flerfaktorsautentisering (MFA).
  • Infrastrukturens prestanda övervakasEtt verktyg för infrastrukturövervakning används för att övervaka system, infrastruktur och prestanda, och genererar varningar när särskilda fördefinierade gränsvärden nås.
  • Nätverkssegmentering infördFöretagets nätverk är segmenterat för att förhindra obehörig åtkomst till kunddata.
  • Nätverksbrandväggar granskasFöretaget granskar sina brandväggsregler minst en gång om året. Nödvändiga ändringar följs upp tills de är genomförda.
  • Nätverksbrandväggar användsFöretaget använder brandväggar och konfigurerar dem för att förhindra obehörig åtkomst.
  • Autentisering med unika konton till nätverkssystem krävsFöretaget kräver att autentisering till produktionsnätverket sker med unika användarnamn och lösenord eller med auktoriserade SSH-nycklar (Secure Socket Shell).
  • Åtkomst till brandväggen begränsadFöretaget begränsar privilegierad åtkomst till brandväggen till behöriga användare med ett verksamhetsbehov.
  • Krypterad fjärråtkomst krävsFöretagets produktionssystem kan bara nås på distans av behöriga anställda via en godkänd krypterad anslutning.

Organisatorisk säkerhet

Den mänskliga sidan: rekrytering, enheter, uppförande och kassering.

  • Rutiner för kassering av tillgångar användsFöretaget låter elektroniska medier som innehåller konfidentiell information raderas eller förstöras enligt bästa praxis, och ett intyg om destruktion utfärdas för varje förstörd enhet.
  • Skydd mot skadlig kod användsFöretaget använder skydd mot skadlig kod i miljöer som ofta utsätts för angrepp och konfigurerar det så att det uppdateras regelbundet, loggas och installeras på alla relevanta system.
  • Sekretessavtal bekräftat av anställdaFöretaget kräver att anställda skriver under ett sekretessavtal vid introduktionen.
  • Medarbetarsamtal genomförsFöretagets chefer ska genomföra medarbetarsamtal med sina direktrapporterande minst en gång om året.
  • MDM-system användsFöretaget har ett system för hantering av mobila enheter (MDM) för att centralt hantera de mobila enheter som stödjer tjänsten.
  • Bakgrundskontroller av anställda genom omfattande granskningFöretaget gör bakgrundskontroller av nyanställda.
  • Uppförandekod bekräftad av anställda och upprätthållenFöretaget kräver att anställda bekräftar en uppförandekod vid anställningen. Anställda som bryter mot uppförandekoden blir föremål för disciplinära åtgärder enligt en disciplinpolicy.
  • Rutiner för besökare upprätthållsFöretaget kräver att besökare skriver in sig, bär besöksbricka och eskorteras av en behörig anställd när de besöker datacentret eller skyddade områden.
  • Uppförandekod bekräftad av konsulterFöretaget kräver att konsultavtal innehåller en uppförandekod eller en hänvisning till företagets uppförandekod.
  • Sekretessavtal bekräftat av konsulterFöretaget kräver att konsulter skriver under ett sekretessavtal när uppdraget inleds.

Produktsäkerhet

Hur själva mjukvaran skrivs, testas och bevisas innan den når er.

  • Datakryptering användsFöretagets datalager som innehåller känsliga kunddata är krypterade i vila.
  • Självutvärderingar av kontroller genomförsFöretaget genomför självutvärderingar av kontrollerna minst en gång om året för att säkerställa att kontrollerna finns på plats och fungerar effektivt. Korrigerande åtgärder vidtas utifrån relevanta iakttagelser. Om företaget har åtagit sig en SLA för en iakttagelse slutförs den korrigerande åtgärden inom den SLA:n.
  • Penetrationstester genomförsFöretagets penetrationstester genomförs minst en gång om året. En åtgärdsplan tas fram och ändringar genomförs för att åtgärda sårbarheter i enlighet med SLA:er.
  • Rutiner för sårbarhets- och systemövervakning fastställdaFöretagets formella policyer beskriver kraven för följande funktioner inom IT/utveckling: sårbarhetshantering och systemövervakning.

Interna säkerhetsrutiner

Programmet bakom kontrollerna: styrning, risk, incidenter, leverantörer och kontinuitet.

  • Kontinuitets- och katastrofåterställningsplaner fastställdaFöretaget har planer för kontinuitet och katastrofåterställning som beskriver kommunikationsplaner för att upprätthålla informationssäkerheten om nyckelpersoner inte är tillgängliga.
  • Kontinuitets- och katastrofåterställningsplaner testadeFöretaget har en dokumenterad plan för kontinuitet och katastrofåterställning (BC/DR) och testar den minst en gång om året.
  • Cyberförsäkring upprätthållsFöretaget har en cyberförsäkring för att mildra den ekonomiska effekten av avbrott i verksamheten.
  • System för konfigurationshantering fastställtFöretaget har en rutin för konfigurationshantering för att säkerställa att systemkonfigurationer driftsätts enhetligt i hela miljön.
  • Utvecklingslivscykel fastställdFöretaget har en formell metodik för systemutvecklingens livscykel (SDLC) som styr utveckling, anskaffning, implementering, ändringar (inklusive akuta ändringar) och underhåll av informationssystem och tillhörande tekniska krav.
  • Visselblåsarpolicy fastställdFöretaget har en formaliserad visselblåsarpolicy, och det finns en anonym kommunikationskanal där användare kan rapportera möjliga problem eller misstänkta bedrägerier.
  • Genomgångar med styrelsen genomförsFöretagets styrelse eller ett relevant utskott informeras av den högsta ledningen minst en gång om året om läget för företagets cybersäkerhets- och integritetsrisker. Styrelsen ger återkoppling och vägledning till ledningen vid behov.
  • Styrelsens arbetsordning dokumenteradFöretagets styrelse har en dokumenterad arbetsordning som beskriver dess tillsynsansvar för den interna kontrollen.
  • Styrelsens kompetens utveckladFöretagets styrelseledamöter har tillräcklig kompetens för att övervaka ledningens förmåga att utforma, införa och driva kontroller för informationssäkerhet. Styrelsen anlitar externa experter och konsulter inom informationssäkerhet vid behov.
  • Styrelsemöten genomförsFöretagets styrelse sammanträder minst en gång om året och för formella protokoll. I styrelsen ingår ledamöter som är oberoende av företaget.
  • Processer för säkerhetskopiering fastställdaFöretagets policy för säkerhetskopiering dokumenterar kraven för säkerhetskopiering och återställning av kunddata.
  • Ledningens roller och ansvar definieradeFöretagets ledning har fastställt definierade roller och ansvar för att övervaka utformningen och införandet av kontroller för informationssäkerhet.
  • Organisationsstruktur dokumenteradFöretaget har ett organisationsschema som beskriver organisationsstrukturen och rapporteringsvägarna.
  • Roller och ansvar specificeradeRoller och ansvar för utformning, utveckling, införande, drift, underhåll och övervakning av kontroller för informationssäkerhet är formellt tilldelade i arbetsbeskrivningar och/eller i policyn för roller och ansvar.
  • Säkerhetspolicyer fastställda och granskadeFöretagets policyer och rutiner för informationssäkerhet är dokumenterade och granskas minst en gång om året.
  • Åtkomstbegäran krävsFöretaget säkerställer att användaråtkomst till systemkomponenter som omfattas baseras på arbetsroll och funktion, eller kräver en dokumenterad åtkomstbegäran och chefens godkännande innan åtkomsten tilldelas.
  • Incidenthanteringsplan testadFöretaget testar sin incidenthanteringsplan minst en gång om året.
  • Policyer för incidenthantering fastställdaFöretaget har policyer och rutiner för hantering av säkerhets- och integritetsincidenter som är dokumenterade och kommunicerade till behöriga användare.
  • Rutiner för incidenthantering följsFöretagets säkerhets- och integritetsincidenter loggas, följs upp, löses och kommuniceras av ledningen till berörda eller relevanta parter enligt företagets policy och rutiner för hantering av säkerhetsincidenter.
  • Företagets åtaganden kommunicerade externtFöretagets säkerhetsåtaganden kommuniceras till kunderna i ramavtal (MSA) eller användarvillkor (TOS).
  • Externa supportresurser tillgängligaFöretaget tillhandahåller riktlinjer och tekniska supportresurser om systemdriften till kunderna.
  • Tjänstebeskrivning kommuniceradFöretaget tillhandahåller en beskrivning av sina produkter och tjänster till interna och externa användare.
  • Riskbedömningar genomförsFöretagets riskbedömningar genomförs minst en gång om året. Som en del av processen identifieras hot och förändringar (miljömässiga, regulatoriska och tekniska) som påverkar tjänsteåtagandena, och riskerna bedöms formellt. Riskbedömningen omfattar en bedömning av risken för bedrägerier och hur bedrägerier kan påverka möjligheten att nå målen.
  • Program för riskhantering fastställtFöretaget har ett dokumenterat program för riskhantering med vägledning för att identifiera möjliga hot, bedöma hur allvarliga riskerna med de identifierade hoten är och strategier för att minska dem.
  • Mål för riskbedömningen specificeradeFöretaget specificerar sina mål så att risker kopplade till målen kan identifieras och bedömas.
  • Avtal med tredje part fastställdaFöretaget har skriftliga avtal med leverantörer och närstående tredje parter. Avtalen innehåller sekretess- och integritetsåtaganden som gäller för respektive part.
  • Program för leverantörshantering fastställtFöretaget har ett program för leverantörshantering. Programmet omfattar en förteckning över kritiska leverantörer, leverantörernas säkerhets- och integritetskrav och granskning av kritiska leverantörer minst en gång om året.
  • Systemändringar kommunicerade externtFöretaget meddelar kunderna om kritiska systemändringar som kan påverka deras behandling.
  • Systemändringar kommuniceradeFöretaget kommunicerar systemändringar till behöriga interna användare.
  • Supportsystem tillgängligtFöretaget har ett externt supportsystem där användare kan rapportera systeminformation om fel, incidenter, farhågor och andra klagomål till rätt personal.

Data och integritet

Vad Light gör med er data, hur den klassificeras och när den försvinner.

  • Rutiner för datalagring fastställdaFöretaget har formella rutiner för lagring och radering som styr säker lagring och radering av företagets och kundernas data.
  • Policy för dataklassificering fastställdFöretaget har en policy för dataklassificering som hjälper till att säkerställa att konfidentiell data är ordentligt skyddad och begränsad till behörig personal.
  • Kunddata raderas när kunden lämnarFöretaget raderar eller tar bort kunddata som innehåller konfidentiell information från applikationsmiljön, enligt bästa praxis, när kunder lämnar tjänsten.

Där er
data finns

Ett svar, och det ändras inte beroende på vem som frågar.

I Europeiska unionen

Lights centrala backend körs på AWS i Irland, i en HIPAA-kompatibel miljö. Säkerhetskopior förvaras på separata platser så att ett enskilt fel inte kan slå ut båda. Light arbetar bara med molnleverantörer vars datacenter har SOC 2- och ISO 27001-attestationer.

Krypterat hela vägen

Aktuell TLS på varje anslutning: webbläsare till applikation, applikation till ert ERP eller er bank, och internt mellan Lights egna tjänster och databaser. Data i vila är krypterad, och inloggningsuppgifter ligger i AWS Secrets Manager i stället för i koden.

Sparas så kort tid som möjligt

Light är utformat för att inte lagra personuppgifter vid synkronisering: det finns till för att flytta data, inte för att profilera den. När ett avtal upphör erbjuds ni en export, och datan raderas 90 dagar senare om inte lagen kräver något annat.

Händer som skriver på en laptop vid ett skrivbord

Agenter, och vad de får göra

Light driver ett team av agenter på er huvudbok. Det väcker frågor som ett traditionellt ERP aldrig behövde besvara.

  1. 1

    Er data tränar ingen annans modell

    Kunddata bidrar aldrig till träning av tredje parts grundmodeller. Leverantörerna som Light anropar behandlar den enligt avtal som förbjuder träning på den, och var och en ser bara det minimum som uppgiften kräver. Light förbehåller sig däremot rätten att träna och förbättra modeller på er data där det gör tjänsten bättre för er. Personuppgiftsbiträdesavtalet anger villkoren.

  2. 2

    Varje åtgärd kan härledas

    Agenterna arbetar inom samma behörighetsmodell som människor. Varje ändring hamnar i samma oföränderliga revisionsspår, vem eller vad som gjorde den, när och varför, och en revisionsagent med enbart läsbehörighet verifierar arbetet oberoende.

  3. 3

    Ni sätter gränserna

    Attestgränser, ansvarsfördelning och rollbaserade behörigheter kan konfigureras per bolag, så att en agents befogenheter är ett beslut som er controller fattar, inte en standard ni ärver.

Frågor vi får

Har ni frågor? Skriv till compliance@light.inc

Var lagras vår data?

I Europeiska unionen. Lights centrala backend körs på AWS i Irland, och säkerhetskopior förvaras på separata platser för motståndskraft. Light arbetar bara med molnleverantörer vars datacenter har SOC 2- och ISO 27001-attestationer.

Används vår data för att träna AI-modeller?

Inte av någon annan. Kunddata bidrar aldrig till träning av tredje parts grundmodeller: modelleverantörerna som Light anropar behandlar data enligt avtal som förbjuder träning på den, och Light tillämpar minsta möjliga behörighet för varje underbiträde så att varje system bara ser det minimum av data som krävs. Light förbehåller sig själv rätten att träna och förbättra modeller på kunddata där det gör tjänsten bättre för den kund som datan tillhör. Personuppgiftsbiträdesavtalet anger de villkor som gäller.

Kan agenter agera i vår huvudbok utan en människa?

Agenterna arbetar inom samma behörighetsmodell som människor, och varje åtgärd de gör skrivs till samma oföränderliga revisionsspår: vem eller vad som gjorde ändringen, när och varför. En revisionsagent med enbart läsbehörighet verifierar arbetet. Attestgränser och ansvarsfördelning kan konfigureras per bolag.

Hur får vi SOC 2-rapporten?

Begär den nedan. De fullständiga SOC 2 Type II- och SOC 1 Type II-rapporterna är konfidentiella och delas med kunder, potentiella kunder och deras revisorer under NDA, vanligtvis inom en arbetsdag.

Hur snabbt får vi veta om en säkerhetsincident?

Berörda kunder underrättas utan onödigt dröjsmål och senast 36 timmar efter upptäckten, före de 72 timmar som GDPR kräver av personuppgiftsansvariga.

Stöder ni single sign-on?

Light erbjuder rollbaserade behörigheter och flerfaktorsautentisering direkt från start, med autentisering som hanteras av Auth0. Prata med oss om er identitetsleverantör och era krav på provisionering, så bekräftar vi vad som stöds för er uppsättning.

Vad händer med vår data om vi lämnar?

Ni erbjuds först en export. Kunddata raderas sedan 90 dagar efter att avtalet har upphört, om inte en längre lagringstid krävs enligt lag.

Vem kontaktar vi om en sårbarhet?

Mejla security@light.inc. Light utreder varje rapport och vidtar inga åtgärder mot forskare som testar i god tro, håller sig inom ramen för sitt eget konto och undviker integritetsintrång eller försämrad tjänst.

Vad bör vår säkerhetsgranskning omfatta innan vi väljer en AI-plattform för redovisning?

Gå igenom omfattningen och perioden för de rapporter ni får, vilka system och kontroller som har granskats och vilka ansvarsområden er egen organisation måste uppfylla. Jämför era krav på åtkomst, datalagringsplats, underbiträden, motståndskraft och revisionsunderlag med de aktuella säkerhetsdokumenten och personuppgiftsbiträdesavtalet (DPA). Skicka jurisdiktionsspecifika krav till Lights säkerhetsteam för granskning, i stället för att behandla namnet på en certifiering som svaret på varje krav.

Hur bör vi testa godkännanden, revisionsunderlag och dataexport?

Be Lights team visa en tillåten åtgärd, en nekad åtgärd och en rättelse med historiken intakt. Kom överens om vilka poster, bilagor och format ert ekonomiteam behöver spara eller exportera, testa sedan ett representativt urval och stäm av dess summor. Bekräfta avtalad lagringstid och villkor vid avtalets upphörande mot personuppgiftsbiträdesavtalet och användarvillkoren.

Boka en demo