纽约的律所、诊所或小型金融公司在挑选网络安全服务商时，第一步尽职调查通常就是看对方的官网。客户想找的是证据：这家公司真的能保护我们吗？出了问题时，会对我们说实话吗？
如今这份证据要被检查两次：一次是客户本人在看，另一次越来越多是 AI 助手在读。当有人问 ChatGPT 或 Google"纽约哪家网络安全公司有 SOC 2"时，答案来自各家网站对自己的描述，以及其他来源能否印证。网站上若有夸大，AI 可能原样转述，而谨慎的客户一眼就能看出破绽。本文整理 MSP 和网络安全公司最重要的几类信任信号，以及每一类该怎样准确地呈现。
所有信号背后的一条原则：可以被核实
安全行业的买家天生多疑。"企业级安全""完全合规"这类话对他们毫无意义，含糊的说法反而会降低信任。一个有力的信任信号包含三部分：你具体拥有什么、由谁确认、客户如何自行核实。网站上的每个徽章、标志和声明，都可以用这三条来检验。
SOC 2：写清楚是哪一份报告，而不只是名字
SOC 2 不是证书，而是由独立会计师事务所执行的审查，依据 AICPA（美国注册会计师协会）的信托服务准则，涵盖安全性、可用性、处理完整性、保密性和隐私五类。Type 1 报告看的是某一时间点上控制措施的设计是否合理；Type 2 报告检验的是这些控制在一段期间内是否真正有效运行。客户懂这个区别，你的网站也应该写清楚。
- 如果贵公司有 SOC 2 报告，写明是 Type 1 还是 Type 2、覆盖哪几类准则、覆盖哪段期间。不要写"SOC 2 认证"。
- 说明如何索取报告。SOC 2 报告通常需签保密协议后提供。放一个"索取我们的 SOC 2 Type 2 报告"的链接，连到一个简短表单，就是很强的信号。如果你有 AICPA 的 SOC 3 报告，它是专为公开发布设计的通用摘要。
- 如果你是帮客户准备 SOC 2，自己并没有报告，就照实写："我们协助客户准备 SOC 2 审查。"这本身就是有价值的服务，而且诚实。
NYDFS 23 NYCRR 500：让客户看出你真懂这条法规
对于服务银行、保险等纽约州金融服务局（DFS）监管行业的纽约公司来说，这条州级网络安全法规是客户采购的重要原因。该法规在 2023 年 11 月大幅修订，相关要求分阶段在 2025 年前陆续生效。以下两点最能体现你对法规的熟悉：
- 自 2025 年 11 月 1 日起，受监管机构必须对访问其任何信息系统的任何人员启用多因素认证（MFA）（少数例外除外），并建立书面的资产清单管理程序。
- 受监管机构每年须在 4 月 15 日前向 DFS 提交实质合规证明或不合规确认书。
网站上要写你实际做的事，例如"我们为受 DFS 监管的客户部署并记录 MFA 上线"，或"我们协助准备年度合规申报背后的证明材料"。不要暗示你能让客户"符合 NYDFS"。合规责任在受监管机构本身，这个行业的客户都清楚这一点。
HIPAA：根本不存在官方的"HIPAA 认证"
这是 IT 公司网站上最常见的夸大。美国卫生与公众服务部（HHS）在其安全规则问答中明确表示，不认可也不承认私人机构就安全规则发出的"认证"。因此，"HIPAA 认证"徽章反而会让懂行的客户怀疑你是否真的了解 HIPAA。
更有力、也更诚实的写法：
- 如果你签署商业伙伴协议（BAA），就写出来。根据 HIPAA，受监管机构必须与处理受保护健康信息的商业伙伴签订书面合同，诊所一定会问这一点。
- 描述具体工作：风险分析支持、访问控制、加密备份、审计日志。
- 如果有员工持有具名的独立资质，写出人名和资质名称，而不是给公司贴一个徽章。
SLA：公开定义，而不只是承诺
SLA 只有在客户看得懂时才算信任信号。"7×24 支持""快速响应"都不是 SLA。网站上有用的 SLA 部分应该说明：
- 优先级如何定义（例如什么算紧急，什么算日常）
- 响应时间和解决时间的区别
- 覆盖哪些时段，非工作时间的请求如何处理
- 完整条款在哪里，例如可应要求提供的合同样本
只公布你能稳定做到的目标。如果客户后来发现合同和网站写的不一样，这个落差的代价远大于一个保守的数字。
任何人一分钟就能核实的信号
- 真实的人。团队页面写上真实姓名、职位和资质。安全客户想知道谁将拥有他们系统的管理员权限。
- 可以核实的合作伙伴身份。展示厂商合作伙伴标志时，链接到该厂商官方合作伙伴目录中你的页面。
- security.txt 文件。RFC 9116 定义了放在
/.well-known/security.txt的简单文件，告诉安全研究人员如何报告漏洞。对一家安全公司来说，有这个文件是一个小而可信的信号：你自己在践行你卖的东西。 - 自家网站的基本功。全站 HTTPS、没有过期插件、没有混合内容警告。技术型客户真的会去看。
- 真实、具体的案例。写明行业、问题、你做了什么、带来了什么变化。客户名称可以匿名，但结果绝不能编造。
措辞速查
- 不写"SOC 2 认证"，改写"可在签署保密协议后提供 SOC 2 Type 2 报告"（前提是属实）。
- 不写"HIPAA 认证"，改写"我们签署 BAA，并协助落实 HIPAA 安全规则的保护措施"。
- 不写"NYDFS 合规方案"，改写"我们协助受 DFS 监管的客户落实 Part 500 控制措施，如 MFA 和资产清单"。
- 不写"保证即时响应"，改为公布明确定义的优先级，以及你实际做到的目标。
为什么精确也有助于 AI 可见度
AI 助手回答的是具体问题，比如"曼哈顿哪家 IT 公司能给牙科诊所签 BAA"。网站上精确、基于事实的表述，比泛泛的营销语言更容易被 AI 匹配并正确概括。没有人能保证 AI 一定会推荐某家公司，但清晰、可核实的声明能给它准确的素材；即使 AI 逐字转述，你也不会有风险。
我们的做法
为 MSP 或网络安全公司建站时，我们先盘点这家公司能证明什么：报告、协议、合作伙伴目录、团队成员和真实项目。网站上只写通过这项核查的内容，并且每条声明都写成客户可以自行核实的形式。我们还会补上结构化数据、security.txt 等技术细节，并每月报告哪些 AI 助手提到了这家公司、引用的是哪些页面。
想了解我们如何服务 IT 服务商，请看 MSP 与网络安全专页，或申请一次免费的网站信任信号与 AI 可见度检查。