Für ISO-27001-Berater und virtuelle CISOs
Sie kennen den Verlauf. Das System, das Sie aufbauen, ist am Tag der Übergabe in Ordnung, und elf Monate später ruft der Kunde an, weil das Überwachungsaudit in drei Wochen ansteht und seit Ihrem Weggang niemand das Risikoregister angefasst hat. StandardOS ist der Teil der Arbeit, der weiterläuft, wenn Sie gegangen sind: ein Konto, jeder Kunde, die Aufzeichnungen jedes einzelnen getrennt, und die wiederkehrende Arbeit terminiert, damit das Jahr nicht still wird.
Ein Produkt, und jetzt ein Partnerprogramm
Empfehlungspartner erhalten zwölf Monate lang 20% jeder Zahlung pro vermitteltem Kunden und werden, sobald der Kunde zustimmt, im Produkt dieses Kunden als Ansprechperson genannt. Reseller stellen dem Kunden selbst Rechnung, mit 30% Marge. Kein White Label: die Marke ist das Vertrauen. Die Bedingungen stehen auf der Partnerseite; einen Kunden mitzubringen bleibt der Einstieg.
PartnerprogrammSieben Fragen zum Kunden ergeben einen Entwurf des Anwendungsbereichs, Risikokriterien, ein erstes Risikoregister, eine Erklärung zur Anwendbarkeit über alle 93 Controls aus Anhang A mit einer Begründung zu jedem, und den Richtliniensatz. Das erste Treffen verbringen Sie damit, Entwürfe mit dem Kunden zu korrigieren statt sie zu tippen, und genau dort ist Ihr Urteil das Honorar wert.
Sie gehören zur Organisation jedes Kunden und wechseln über die Seitenleiste zwischen ihnen. Jedes Register, jedes Dokument und jeder Nachweis ist auf die Organisation auf dem Bildschirm gefiltert, durchgesetzt in der Datenbank und nicht in der Oberfläche, sodass ein Bildschirm einem Kunden nie die Risiken eines anderen zeigt. Die Mitarbeitenden Ihres Kunden arbeiten in derselben Organisation wie Sie, mit den Rollen, die Sie ihnen geben.
Jede Maßnahme, jedes Risiko, jeder Lieferant, jedes Dokument und jedes Zertifikat trägt ein Überprüfungsdatum. Überfällige Punkte erscheinen in einem Posteingang und in einer Zusammenfassung, beim Kunden und bei Ihnen. Nachweise laufen ab und sagen es. Wenn das Überwachungsaudit in drei Wochen ansteht, lautet die Frage nicht, was dieses Jahr passiert ist, sondern welche der datierten Aufzeichnungen man zuerst zeigt.
12 rein lesende Integrationen lesen die Systeme des Kunden nach Zeitplan: GitHub, Microsoft Entra ID, Okta, Google Workspace, Personio, Amazon Web Services, Microsoft Azure, Google Cloud, Snyk, Kandji, Jamf Pro und Microsoft Intune. Eine bestandene Prüfung hält einen Nachweis aktuell; eine fehlgeschlagene lässt ihn ablaufen, sodass eine Verschlechterung im Posteingang auftaucht und nicht im Audit. Nie ein Agent auf irgendjemandes Laptop, und damit ein Gespräch, das Sie mit den Entwicklern oder dem Betriebsrat des Kunden nicht mehr führen müssen. Was jede einzelne liest.
Wenn der Kunde eines Kunden die Tabelle mit vierzig Fragen schickt, fügen Sie die Fragen ein. Jede Antwort wird aus der Erklärung zur Anwendbarkeit, den freigegebenen Richtlinien, den Nachweisen und den Integrationsprüfungen dieses Kunden entworfen und nennt sie mit Namen und Datum, damit das Sicherheitsteam des Kunden sie prüfen kann. Nichts wird erfunden: Eine Maßnahme in Umsetzung wird als in Umsetzung entworfen, und eine Frage, zu der das ISMS nichts hat, sagt das. Der Kunde bestätigt jede Antwort, und bestätigte Antworten werden beim nächsten Fragebogen wiederverwendet. Die Zuordnung von Fragen zu Maßnahmen, veröffentlicht.
Jede Aufzeichnung liegt in einem nur anfügbaren, hash-verketteten Audit-Protokoll. Der Export ist nach Anhang-A-Referenz geordnet, und die Kette lässt sich mit einem veröffentlichten Skript verifizieren, durch die Zertifizierungsstelle, den Kunden oder Sie. Ihre Arbeit zeigt sich in datierten Aufzeichnungen, und genau die zieht ein Auditor als Stichprobe, und dafür erinnert sich ein Kunde an Sie.
249 €/Monat zzgl. USt., pauschal pro Organisation, jede Funktion, unbegrenzt viele Personen. Jede Kundenorganisation ist ein eigenes Abonnement, bezahlt vom Kunden oder von Ihnen, je nachdem, was Ihr Auftrag vorsieht. Ihr eigener Platz kostet in keiner davon extra: Es gibt keine Plätze. Der 14-tägige Test braucht keine Karte, ein Kunde kann also eingerichtet werden und das System sehen, bevor jemand etwas zahlt.
Das Zertifizierungsaudit wird an die Zertifizierungsstelle gezahlt, wie immer. Die Beratung wird an Sie gezahlt, wie immer. Was das Produkt ersetzt, sind die Tabelle, das Netzlaufwerk und die elf Monate Stille, nicht eines von beiden.
Es legt keinen Anwendungsbereich fest, behandelt keine Risiken und sitzt nicht im Audit
Das ist das Urteil, für das Sie bezahlt werden. Das Produkt entwirft und zeichnet auf; Sie entscheiden.
Es ist kein White Label
Ihr Kunde sieht StandardOS, und sieht Sie darin als die Person, die sein System führt. Wir halten das für die ehrliche Abmachung, und es ist die einzige im Angebot.
Es deckt ISO 27001, ISO 42001 und ISO 9001 ab
Nicht SOC 2, nicht TISAX, nicht den Katalog mit 75 Rahmenwerken. Die Kapitel 4 bis 10 sind den dreien gemeinsam, ein Kunde mit zwei davon führt also einen Satz Aufzeichnungen. Die Abdeckung Kapitel für Kapitel ist veröffentlicht, Lücken eingeschlossen.
Bringen Sie einen Kunden mit
Schreiben Sie an support@getstandardos.com mit der Größe des Kunden und seinem Stand im Zyklus, und wir richten ihn mit Ihnen in einem Gespräch ein. Wenn Sie lieber zuerst schauen, steht der Test offen und braucht keine Karte.