Когда юридическая фирма, клиника или небольшая финансовая компания в Нью-Йорке выбирает поставщика кибербезопасности, первым делом она обычно изучает его сайт. Клиент ищет доказательства: сможет ли эта компания нас защитить и будет ли честна, если что-то пойдёт не так?
Теперь эти доказательства проверяют дважды: их читает человек и всё чаще — ИИ-ассистент. Если сайт что-то преувеличивает, ИИ может это повторить, а внимательный клиент заметит. В этой статье — главные сигналы доверия для MSP и компаний по кибербезопасности и то, как точно их показывать.
Правило для каждого сигнала: его можно проверить
Фразы вроде «безопасность корпоративного уровня» или «полное соответствие требованиям» ничего не говорят покупателю. Сильный сигнал доверия состоит из трёх частей: что именно у вас есть, кто это подтвердил и как клиент может это проверить.
SOC 2: укажите, какой именно отчёт
SOC 2 — не сертификат, а проверка независимой аудиторской фирмой по критериям Trust Services Criteria AICPA, охватывающим безопасность, доступность, целостность обработки, конфиденциальность и приватность. Отчёт Type 1 оценивает дизайн контролей на определённую дату, Type 2 — их фактическую работу за период.
- Если у вас есть отчёт SOC 2, укажите тип, категории и период. Не пишите «сертифицированы по SOC 2».
- Объясните, как его получить: обычно он предоставляется под NDA. Отчёт SOC 3 — общедоступная сводка, предназначенная для публикации.
- Если вы помогаете клиентам готовиться, но своего отчёта нет, так и напишите: «Помогаем клиентам подготовиться к проверке SOC 2».
NYDFS 23 NYCRR 500: покажите, что знаете правило
Правило о кибербезопасности штата Нью-Йорк было существенно изменено в ноябре 2023 года, требования вводились поэтапно до 2025 года.
- С 1 ноября 2025 года регулируемые организации обязаны применять многофакторную аутентификацию для любого лица, получающего доступ к любой их информационной системе (с ограниченными исключениями), и иметь письменные процедуры инвентаризации активов.
- Ежегодно до 15 апреля они подают в DFS сертификат существенного соответствия или признание несоответствия.
Описывайте то, что вы действительно делаете: «внедряем и документируем MFA для клиентов, регулируемых DFS». Не намекайте, что можете сделать клиента «соответствующим NYDFS»: ответственность лежит на самой организации.
HIPAA: официальной «сертификации HIPAA» не существует
Министерство здравоохранения и социальных служб США (HHS) указывает, что не одобряет и не признаёт «сертификаты» частных организаций в отношении Правила безопасности. Честные альтернативы:
- Укажите, что вы подписываете BAA (соглашения с деловыми партнёрами), если это так: HIPAA требует письменного договора с деловыми партнёрами.
- Опишите работу: анализ рисков, контроль доступа, зашифрованные резервные копии, журналы аудита.
- Если у сотрудника есть независимая квалификация, назовите человека и квалификацию.
SLA: публикуйте определения, а не только обещания
«Поддержка 24/7» — это не SLA. Объясните, как определяются приоритеты, чем время реакции отличается от времени решения, какие часы покрыты и где найти полные условия. Публикуйте только те цели, которые стабильно выполняете.
Сигналы, которые любой проверит за минуту
- Страница команды с настоящими именами, должностями и квалификациями.
- Логотипы партнёров со ссылками на официальные каталоги вендоров.
- Файл security.txt по RFC 9116 по адресу
/.well-known/security.txt. - Порядок на собственном сайте: HTTPS везде, без устаревших плагинов.
- Реальные кейсы, при необходимости анонимные, но без выдуманных результатов.
Краткий гид по формулировкам
- Вместо «сертифицированы по SOC 2»: «отчёт SOC 2 Type 2 доступен под NDA» (только если это правда).
- Вместо «сертифицированы по HIPAA»: «подписываем BAA и поддерживаем меры Правила безопасности HIPAA».
- Вместо «решения, соответствующие NYDFS»: «помогаем клиентам, регулируемым DFS, внедрять контроли Part 500, такие как MFA и инвентаризация активов».
- Вместо «гарантированный мгновенный ответ»: опубликуйте уровни приоритета и фактически достигаемые цели.
Почему точность помогает и в ИИ-поиске
ИИ-ассистенты отвечают на конкретные вопросы, и точные фактические утверждения им проще правильно сопоставить и пересказать. Никто не может гарантировать, что ИИ порекомендует конкретную компанию, но ясные, проверяемые утверждения дают ему верный материал.
Как работаем мы
Мы начинаем с инвентаризации того, что компания может доказать. На сайте остаётся только то, что прошло эту проверку; мы добавляем структурированные данные и security.txt и ежемесячно отчитываемся, какие ИИ-ассистенты упоминают компанию и какие страницы цитируют.
Узнайте, как мы работаем с ИТ-компаниями, на странице для MSP и кибербезопасности, или запросите бесплатную проверку сигналов доверия вашего сайта.