Penetratietest in Californië

Het dreigingslandschap van Californië

De tegenstanders van Californië zijn uit op drie dingen: broncode en modelgewichten, de persoonsgegevens van bijna 40 miljoen inwoners, en de drukmiddelen die ontstaan wanneer ziekenhuizen, havens en publieke diensten stilvallen. Technologie- en AI-bedrijven in de Bay Area hebben te maken met aanhoudende inlichtingenverzameling op intellectueel eigendom, van staatsgelieerde groepen die het op chipontwerpen en modelonderzoek hebben gemunt tot het werven van insiders en het compromitteren van build-pipelines, package registries en laptops van ontwikkelaars. SaaS-platforms dragen het vermenigvuldigingsrisico van de gegevens van hun klanten: één fout in de tenantscheiding of één gelekt supportaccount stelt duizenden organisaties bloot. Publieke organisaties kregen enkele van de meest zichtbare aanvallen te verwerken: in februari 2023 legde een ransomware-aanval de netwerken van de stad Oakland wekenlang plat en riep de stad een lokale noodtoestand uit, en in september 2022 werd het Los Angeles Unified School District, het op één na grootste schooldistrict van het land, getroffen door een ransomwaregroep die later gestolen gegevens van leerlingen en medewerkers publiceerde. Ziekenhuisgroepen in de hele staat blijven geliefde doelwitten voor afpersing, omdat elk uur uitval de patiëntenzorg bedreigt, terwijl de havens van Los Angeles en Long Beach, de drukste containerpoort van het westelijk halfrond, en de luchtvaart- en defensietoeleveranciers in Zuid-Californië daar eisen rond operationele technologie en CMMC aan toevoegen. Californië reguleert dit inmiddels strenger dan welke andere staat ook. De CCPA, zoals gewijzigd door de CPRA, geeft consumenten een eigen vorderingsrecht met wettelijke schadevergoeding wanneer een datalek voortkomt uit het ontbreken van redelijke beveiliging onder Cal. Civ. Code 1798.81.5; de cybersecurity-auditregels van de California Privacy Protection Agency, van kracht sinds 1 januari 2026, verplichten kwalificerende bedrijven tot een onafhankelijke jaarlijkse cybersecurity-audit en een ingediende certificering, met de eerste certificeringen vanaf april 2028 voor de grootste bedrijven; en sinds 1 januari 2026 eist SB 446 dat getroffen inwoners binnen 30 kalenderdagen na ontdekking worden geïnformeerd, met een voorbeeldmelding aan de Attorney General binnen 15 dagen daarna wanneer meer dan 500 Californiërs zijn getroffen. Veelvoorkomende bevindingen in Californië zijn CI/CD-runners en artefactopslag met productiegeheimen, identity providers die over overnames heen zijn gefedereerd met inconsistente conditional-access-regels, support- en beheertools die tenantgrenzen omzeilen, cloudopslag met trainingsdata of klantexports zonder toegangslogging, en klinische of studionetwerken die bereikbaar zijn via VPN's van externe partijen.

Californische en Amerikaanse frameworks waarvoor we rapporteren

Californië legt het strengste privacyregime van de VS bovenop de federale en sectorale frameworks waaraan elke Amerikaanse organisatie al moet voldoen. De deliverables van HackersHub, een penetration testing statement, managementsamenvatting, CVSS-gescoorde bevindingen met bewijs en aanvalsverhaal, en een geprioriteerd herstelplan, mappen elke bevinding op de onderstaande eisen, zodat hetzelfde rapport bruikbaar is voor de CPPA-audit, het SOC 2-onderzoek en de securityreview van klanten. Voor Europese moederbedrijven kan de rapportage tweetalig (EN / NL) worden opgeleverd en ook op de AVG en NIS2 worden gemapt.

• California Consumer Privacy Act zoals gewijzigd door de CPRA (Cal. Civ. Code 1798.100 e.v.), inclusief het eigen vorderingsrecht in 1798.150 bij datalekken door het ontbreken van redelijke beveiliging
• Cybersecurity-auditregels van de California Privacy Protection Agency (van kracht sinds 1 januari 2026): onafhankelijke jaarlijkse audits met certificeringen vanaf 1 april 2028, 2029 of 2030, afhankelijk van de omzet
• Cal. Civ. Code 1798.81.5 redelijke beveiligingsprocedures en -maatregelen
• Cal. Civ. Code 1798.82 meldplicht datalekken zoals gewijzigd door SB 446: getroffen inwoners binnen 30 kalenderdagen na ontdekking, en een voorbeeldmelding aan de Attorney General binnen 15 dagen daarna bij meer dan 500 getroffen inwoners
• California Confidentiality of Medical Information Act (CMIA) voor zorgaanbieders, zorgverzekeraars en digitale-zorgbedrijven
• State Administrative Manual hoofdstuk 5300 en de beveiligingsstandaarden van het California Department of Technology voor overheidsinstanties en hun leveranciers
• HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie
• FDA sectie 524B van de Federal Food, Drug, and Cosmetic Act voor cyber devices
• SEC-regels voor cybersecuritymeldingen (Form 8-K Item 1.05, Regulation S-K Item 106)
• SOC 2 Trust Services Criteria CC4.1, CC7.1 en CC7.4
• PCI DSS v4.0.1 Requirement 11.4 penetratietests
• CMMC 2.0 Level 2 (NIST SP 800-171) en FedRAMP Rev. 5 CA-8
• OWASP LLM Top 10 2025 en NIST SP 800-115 technical security testing

Waarom organisaties in Californië met HackersHub werken

Californische opdrachten worden aangestuurd vanuit Amsterdam, waar HackersHub zijn hoofdkantoor heeft; de firma heeft geen kantoor in Californië en ook geen ander Amerikaans kantoor. Dat past goed bij het werk in deze staat. Het Californische aanvalsoppervlak bestaat grotendeels uit cloud, SaaS, API's en AI-infrastructuur, die de interne specialisten van HackersHub remote vanuit Nederland testen terwijl Californië slaapt, zodat productiepieken met rust worden gelaten en de resultaten klaarliggen aan het begin van de Pacific-werkdag. Wanneer een opdracht iemand in het gebouw vraagt, voor een laboratoriumnetwerk, een studio, een interne Active Directory-assessment of een fysieke test, reizen testers naar de Bay Area, Los Angeles, San Diego of Sacramento, en vullen gescreende Amerikaanse delivery partners de capaciteit aan bij grotere scopes. Scoping- en rapportagegesprekken plannen we op Pacific-tijd. Michael van Mameren (OSCP) leidt de opdrachten; elke tester heeft minimaal OSCP, met OSWE- en CREST-specialisten voor diepgang op applicaties en infrastructuur. De methodiek volgt PTES, de OWASP WSTG en NIST SP 800-115, en bevindingen vanaf medium worden binnen 90 dagen hertest. Voor een Nederlands of Europees moederbedrijf is dat één partij voor de hele groep. Meer dan 2.500 opdrachten sinds 2015 vormen de basis voor de volledige Amerikaanse marktintroductie van HackersHub in het eerste kwartaal van 2027.