Cuando un bufete, una clínica o una pequeña empresa financiera de Nueva York evalúa a un proveedor de ciberseguridad, el sitio web suele ser la primera revisión. El comprador busca pruebas: ¿esta empresa puede protegernos y será honesta cuando algo falle?
Esas pruebas ahora se revisan dos veces: las lee una persona y, cada vez más, también un asistente de IA. Si su sitio exagera algo, la IA puede repetirlo y un comprador cuidadoso lo notará. Esta guía cubre las señales de confianza más importantes para MSP y empresas de ciberseguridad, y cómo presentarlas con precisión.
La regla detrás de cada señal: que sea verificable
"Seguridad de nivel empresarial" o "totalmente conforme" no dicen nada a un comprador de seguridad. Una señal sólida tiene tres partes: qué tiene exactamente, quién lo confirmó y cómo puede comprobarlo el comprador.
SOC 2: diga qué informe, no solo el nombre
SOC 2 no es un certificado, sino un examen de una firma de contadores independiente según los Trust Services Criteria del AICPA, que abarcan seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El Tipo 1 evalúa el diseño de los controles en un momento dado; el Tipo 2 comprueba si funcionaron durante un periodo.
- Si tiene un informe SOC 2, indique el tipo, las categorías y el periodo. Evite "certificado SOC 2".
- Explique cómo solicitarlo: normalmente se comparte bajo NDA. El informe SOC 3 es un resumen de uso general pensado para publicarse.
- Si ayuda a clientes a prepararse pero no tiene informe propio, dígalo así: "Ayudamos a clientes a preparar exámenes SOC 2".
NYDFS 23 NYCRR 500: demuestre que conoce la norma
La norma de ciberseguridad de Nueva York se modificó a fondo en noviembre de 2023, con requisitos escalonados hasta 2025:
- Desde el 1 de noviembre de 2025, las entidades cubiertas deben usar autenticación multifactor para cualquier persona que acceda a cualquiera de sus sistemas, con excepciones limitadas, y mantener procedimientos escritos de inventario de activos.
- Cada año, antes del 15 de abril, deben presentar ante el DFS una certificación de cumplimiento material o un reconocimiento de incumplimiento.
Describa lo que realmente hace ("implementamos y documentamos MFA para clientes regulados por el DFS"). No insinúe que puede hacer a un cliente "conforme con NYDFS": el cumplimiento corresponde a la entidad cubierta.
HIPAA: no existe una "certificación HIPAA" oficial
El Departamento de Salud y Servicios Humanos (HHS) afirma que no respalda ni reconoce las "certificaciones" de organizaciones privadas sobre la Regla de Seguridad. Alternativas honestas:
- Indique que firma Business Associate Agreements (BAA), si lo hace; HIPAA exige un contrato escrito con los socios comerciales.
- Describa el trabajo: análisis de riesgos, control de acceso, copias cifradas, registros de auditoría.
- Si un empleado tiene una credencial independiente, nombre a la persona y la credencial.
SLA: publique definiciones, no solo promesas
"Soporte 24/7" no es un SLA. Explique cómo se definen las prioridades, la diferencia entre tiempo de respuesta y tiempo de resolución, el horario cubierto y dónde están los términos completos. Publique solo objetivos que cumpla de forma constante.
Señales que cualquiera puede comprobar en un minuto
- Personas con nombre, cargo y credenciales en la página del equipo.
- Logos de socios verificables, enlazados al directorio oficial del proveedor.
- Un archivo security.txt según la RFC 9116, en
/.well-known/security.txt. - Higiene de su propio sitio: HTTPS en todo el sitio y sin plugins obsoletos.
- Casos reales y concretos, anonimizados si hace falta, nunca con resultados inventados.
Guía rápida de redacción
- En lugar de "certificado SOC 2": "informe SOC 2 Tipo 2 disponible bajo NDA" (solo si es cierto).
- En lugar de "certificado HIPAA": "firmamos BAA y apoyamos las salvaguardas de la Regla de Seguridad".
- En lugar de "soluciones conformes con NYDFS": "ayudamos a clientes regulados por el DFS a implementar controles de la Parte 500".
- En lugar de "respuesta inmediata garantizada": publique sus niveles de prioridad y los objetivos que cumple.
Por qué la precisión también ayuda en la búsqueda con IA
Los asistentes de IA responden preguntas concretas, y las afirmaciones precisas son más fáciles de citar correctamente. Nadie puede garantizar que una IA recomiende a una empresa, pero las afirmaciones claras y verificables le dan material exacto.
Cómo lo hacemos
Empezamos con un inventario de lo que la empresa puede demostrar. El sitio solo afirma lo que supera esa revisión, añadimos datos estructurados y security.txt, y cada mes informamos qué asistentes de IA mencionan a la empresa y qué páginas citan.
Vea cómo trabajamos con proveedores de TI en nuestra página de MSP y ciberseguridad, o solicite una revisión gratuita de las señales de confianza de su sitio.