Quando uno studio legale, una clinica o una piccola società finanziaria di New York valuta un fornitore di cybersecurity, il sito web è di solito la prima verifica. Il cliente cerca prove: questa azienda può davvero proteggerci e sarà onesta quando qualcosa va storto?
Oggi queste prove vengono controllate due volte: le legge una persona e, sempre più spesso, anche un assistente AI. Se il sito esagera, l'AI può ripeterlo e un cliente attento se ne accorgerà. Questa guida raccoglie i segnali di fiducia più importanti per MSP e aziende di cybersecurity e spiega come presentarli con precisione.
La regola dietro ogni segnale: deve essere verificabile
"Sicurezza di livello enterprise" o "pienamente conformi" non dicono nulla a chi acquista sicurezza. Un segnale solido ha tre parti: che cosa avete esattamente, chi lo ha confermato e come il cliente può verificarlo.
SOC 2: indicate quale report, non solo il nome
SOC 2 non è un certificato, ma un esame condotto da una società di revisione indipendente secondo i Trust Services Criteria dell'AICPA, che coprono sicurezza, disponibilità, integrità dell'elaborazione, riservatezza e privacy. Il Type 1 valuta il disegno dei controlli a una data; il Type 2 verifica se hanno funzionato in un periodo.
- Se avete un report SOC 2, indicate tipo, categorie e periodo. Evitate "certificati SOC 2".
- Spiegate come richiederlo: di solito si condivide sotto NDA. Il report SOC 3 è una sintesi di uso generale pensata per la pubblicazione.
- Se aiutate i clienti a prepararsi ma non avete un report vostro, scrivetelo: "Aiutiamo i clienti a prepararsi agli esami SOC 2".
NYDFS 23 NYCRR 500: dimostrate di conoscere la norma
La norma sulla cybersecurity dello Stato di New York è stata modificata in modo sostanziale a novembre 2023, con requisiti introdotti per fasi fino al 2025.
- Dal 1° novembre 2025 i soggetti vigilati devono usare l'autenticazione a più fattori per chiunque acceda a qualsiasi loro sistema informativo, salvo eccezioni limitate, e mantenere procedure scritte di inventario degli asset.
- Ogni anno, entro il 15 aprile, devono presentare al DFS una certificazione di conformità sostanziale o un riconoscimento di non conformità.
Descrivete ciò che fate davvero ("implementiamo e documentiamo l'MFA per clienti vigilati dal DFS"). Non lasciate intendere di poter rendere un cliente "conforme NYDFS": la responsabilità è del soggetto vigilato.
HIPAA: non esiste una "certificazione HIPAA" ufficiale
Il Dipartimento della Salute e dei Servizi Umani (HHS) dichiara di non approvare né riconoscere le "certificazioni" di organizzazioni private relative alla Security Rule. Alternative oneste:
- Dichiarate che firmate Business Associate Agreement (BAA), se è così: l'HIPAA richiede un contratto scritto con i business associate.
- Descrivete il lavoro: analisi dei rischi, controllo degli accessi, backup cifrati, log di audit.
- Se un collaboratore ha una credenziale indipendente, indicate la persona e la credenziale.
SLA: pubblicate definizioni, non solo promesse
"Supporto 24/7" non è uno SLA. Spiegate come sono definite le priorità, la differenza tra tempo di risposta e tempo di risoluzione, gli orari coperti e dove trovare i termini completi. Pubblicate solo obiettivi che rispettate con costanza.
Segnali che chiunque può verificare in un minuto
- Persone con nome, ruolo e credenziali nella pagina del team.
- Loghi dei partner verificabili, collegati alla directory ufficiale del fornitore.
- Un file security.txt secondo la RFC 9116, in
/.well-known/security.txt. - Cura del vostro sito: HTTPS ovunque, nessun plugin obsoleto.
- Casi reali e concreti, anonimizzati se serve, mai con risultati inventati.
Guida rapida alle formulazioni
- Invece di "certificati SOC 2": "report SOC 2 Type 2 disponibile sotto NDA" (solo se vero).
- Invece di "certificati HIPAA": "firmiamo BAA e supportiamo le misure della Security Rule HIPAA".
- Invece di "soluzioni conformi NYDFS": "aiutiamo i clienti vigilati dal DFS a implementare i controlli della Part 500, come MFA e inventario degli asset".
- Invece di "risposta immediata garantita": pubblicate i livelli di priorità e gli obiettivi che rispettate davvero.
Perché la precisione aiuta anche nella ricerca AI
Gli assistenti AI rispondono a domande specifiche, e le affermazioni precise e fattuali sono più facili da abbinare e riassumere correttamente. Nessuno può garantire che un'AI raccomandi una certa azienda, ma affermazioni chiare e verificabili le forniscono materiale accurato.
Il nostro approccio
Partiamo da un inventario di ciò che l'azienda può dimostrare. Il sito afferma solo ciò che supera questo controllo; aggiungiamo dati strutturati e security.txt e ogni mese riportiamo quali assistenti AI citano l'azienda e quali pagine usano come fonte.
Scoprite come lavoriamo con i fornitori IT nella nostra pagina MSP e cybersecurity, oppure richiedete una verifica gratuita dei segnali di fiducia del vostro sito.