ニューヨークの法律事務所、クリニック、小規模な金融会社がサイバーセキュリティ企業を選ぶとき、最初の確認材料はたいていウェブサイトです。顧客が探しているのは証拠です。この会社は本当に守ってくれるのか、問題が起きたとき正直に伝えてくれるのか。
その証拠は今、二度チェックされます。人が読み、そしてますますAIアシスタントも読みます。サイトが誇張していればAIがそのまま繰り返すことがあり、慎重な顧客はすぐに気づきます。本記事では、MSPとサイバーセキュリティ企業にとって重要な信頼シグナルと、その正確な示し方をまとめます。
すべてのシグナルの原則：検証できること
「エンタープライズ級のセキュリティ」「完全準拠」といった言葉は、セキュリティの買い手には何も伝えません。強い信頼シグナルには、具体的に何を持っているか、誰が確認したか、顧客がどう確かめられるかの三要素があります。
SOC 2：名前ではなく、どの報告書かを明記する
SOC 2は認証ではなく、独立した会計事務所がAICPAのトラストサービス規準に基づいて行う検証で、セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーを対象とします。Type 1は特定時点の統制の設計を、Type 2は一定期間の運用状況を検証します。
- SOC 2報告書がある場合は、種類、対象カテゴリー、対象期間を明記し、「SOC 2認証取得」とは書かないでください。
- 入手方法を案内しましょう。通常はNDA締結後に共有されます。SOC 3報告書は公開を前提とした一般向けの要約です。
- 顧客のSOC 2準備を支援しているだけなら、「SOC 2検証の準備を支援します」とそのまま書きましょう。
NYDFS 23 NYCRR 500：規則を正確に理解していることを示す
ニューヨーク州のサイバーセキュリティ規則は2023年11月に大幅改正され、要件は2025年にかけて段階的に施行されました。
- 2025年11月1日以降、対象事業者は限定的な例外を除き、あらゆる情報システムにアクセスするすべての人に多要素認証（MFA）を適用し、書面による資産台帳の手順を整備する必要があります。
- 毎年4月15日までに、DFSへ実質的遵守の証明書または不遵守の確認書を提出しなければなりません。
「DFS規制対象の顧客向けにMFA導入と文書化を行います」のように、実際の業務を書きましょう。顧客を「NYDFS準拠にする」と示唆してはいけません。遵守の責任は対象事業者自身にあります。
HIPAA：公式の「HIPAA認証」は存在しない
米国保健福祉省（HHS）は、セキュリティ規則に関して民間組織の「認証」を支持も承認もしていないと明言しています。誠実な代替案は次のとおりです。
- 該当する場合はBAA（ビジネスアソシエイト契約）に署名すると明記しましょう。HIPAAはビジネスアソシエイトとの書面契約を求めています。
- リスク分析支援、アクセス制御、暗号化バックアップ、監査ログなど、具体的な作業を説明しましょう。
- スタッフが独立した資格を持つ場合は、人名と資格名を記載しましょう。
SLA：約束ではなく定義を公開する
「24時間365日サポート」はSLAではありません。優先度の定義、応答時間と解決時間の違い、対応時間帯、全条件の確認先を説明し、安定して達成できる目標だけを公開しましょう。
誰でも1分で確認できるシグナル
- 実名・役職・資格を載せたチームページ
- ベンダー公式ディレクトリにリンクしたパートナーロゴ
- RFC 9116に基づく
/.well-known/security.txtファイル - 全ページHTTPS、古いプラグインなしといった自社サイトの基本管理
- 必要に応じて匿名化しつつ、結果は決して捏造しない実際の事例
表現のクイックガイド
- 「SOC 2認証取得」ではなく「NDA締結後にSOC 2 Type 2報告書を提供」（事実である場合のみ）
- 「HIPAA認証」ではなく「BAAに署名し、HIPAAセキュリティ規則の保護措置を支援します」
- 「NYDFS準拠ソリューション」ではなく「DFS規制対象の顧客によるPart 500統制（MFA、資産台帳）の導入を支援します」
- 「即時対応を保証」ではなく、定義した優先度と実際に達成している目標を公開
正確さがAIでの可視性にも役立つ理由
AIアシスタントは具体的な質問に答えるため、正確で事実に基づく記述ほど正しく照合・要約されます。特定のAIが特定の企業を推薦すると保証できる人はいませんが、明確で検証可能な記述は正確な材料になります。
Apexzone7の進め方
まず企業が証明できるものを棚卸しします。その確認を通過した内容だけをサイトに載せ、構造化データとsecurity.txtを追加し、毎月どのAIアシスタントが企業に言及し、どのページを引用したかを報告します。
IT企業向けの取り組みはMSP・サイバーセキュリティのページをご覧いただくか、無料の信頼シグナル診断をお申し込みください。