Penetratietest in Cleveland, OH
De regio Cleveland combineert een van de grootste zorgeconomieën van de Verenigde Staten met een brede industriële en financiële basis: Cleveland Clinic, University Hospitals en MetroHealth in de zorg, het hoofdkantoor van KeyBank in de binnenstad en Progressive in de oostelijke voorsteden, Sherwin-Williams, Parker Hannifin, Eaton en Lincoln Electric in de maakindustrie, Case Western Reserve University en het Glenn Research Center van NASA in het onderzoek, en de Federal Reserve Bank of Cleveland als toezichthouder op de banken in het district. HackersHub voert offensieve securityopdrachten uit die zijn afgestemd op het dreigingsmodel van deze organisaties: ransomware tegen ziekenhuizen en overheden, identiteitsaanvallen op bank- en verzekeringsplatforms, inbraken die van kantoor doorlopen naar de operationele technologie in de fabriek, en het bewijs dat de Ohio Data Protection Act, HIPAA, GLBA en federale onderzoeks- en defensiecontracten tegenwoordig vereisen.
Het dreigingslandschap van Cleveland en Ohio
Cleveland heeft van dichtbij gezien wat een ransomware-aanval met een publieke organisatie doet. In juni 2024 sloot de gemeente Cleveland het stadhuis en de bijkantoren na wat zij eerst een cyberincident noemde en later als ransomware bevestigde; diensten zoals bouw- en woonvergunningen en betalingen lagen wekenlang stil terwijl de stad samenwerkte met federale rechercheurs en de cybereenheid van de Ohio National Guard. Het patroon komt overeen met wat we in de hele regio zien: een eerste ingang via phishing, een blootgestelde dienst voor externe toegang of een gecompromitteerde leverancier, gevolgd door onopvallende beweging door Active Directory tot de aanvaller genoeg van de omgeving beheerst om die te versleutelen. Zorginstellingen zijn het meest aantrekkelijke doelwit in de regio. Academische ziekenhuizen beheren duizenden verbonden apparaten, klinische applicaties met lange upgradecycli en onderzoeksnetwerken die open moeten blijven voor samenwerkingspartners, en elke storing wordt gemeten in patiëntenzorg. Banken en verzekeraars staan onder een andere druk: campagnes voor accountovername, social engineering via de servicedesk om multifactorauthenticatie te laten resetten, en misbruik van API's van klant- en adviseursplatforms. De industriële basis voegt een derde patroon toe. Fabrikanten van coatings, aandrijf- en besturingstechniek, elektrische apparatuur en lastechniek draaien fabrieken waar PLC's, historians en engineeringwerkstations voor rapportage en ondersteuning op afstand aan het kantoornetwerk zijn gekoppeld, vaak zonder de segmentatie die een aanvaller zou moeten doorbreken. Ohio heeft daar een eigen juridische prikkel omheen gebouwd: de Ohio Data Protection Act geeft organisaties een verweer tegen schadeclaims na een datalek als zij een schriftelijk cybersecurityprogramma onderhouden dat redelijkerwijs aansluit op een erkend framework zoals het NIST Cybersecurity Framework of ISO 27001. Bij opdrachten in Cleveland vinden we stelselmatig klinische en onderzoekssegmenten die vanuit het kantoornetwerk bereikbaar zijn, servicedeskprocessen die authenticators op basis van één telefoontje resetten, vlakke paden van engineeringwerkstations naar productiebesturingen, en apparaten voor externe toegang die lang na een publiek advies nog niet waren gepatcht.
Pentest nodig in Cleveland?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we in Cleveland routinematig bedienen
Waar opdrachten in Cleveland zich concentreren, en welke aanvalspaden elke sector steeds weer laat zien.
Academische ziekenhuizen & zorggroepen
De academische medische campus in University Circle, het publieke ziekenhuissysteem van de county, kinder- en categorale ziekenhuizen, en de artsengroepen en digitale-zorgleveranciers die erop aansluiten. We brengen in kaart hoe ver een gephishte account van een zorgverlener komt: het elektronisch patiëntendossier in, naar beeldvormings- en infuussegmenten, richting de beheerconsoles van back-ups. De bevindingen zijn zo geschreven dat de security officer ze kan opnemen als het bewijs voor risicoanalyse en technische evaluatie dat HIPAA verwacht, en dat het privacyteam weet welke systemen de meldtermijn van 45 dagen in Ohio zouden activeren. Scope en frequentie staan in onze HIPAA-gids op /nl/insights/hipaa-pentest/.
Regionale banken & financiële dienstverlening
Regionale en lokale banken, vermogensbeheerders, betaalverwerkers en de fintechplatforms waarmee zij samenwerken. Externe en interne penetratietests, assessments van identiteit en bevoorrechte toegang, social-engineeringtests op de servicedesk gericht op misbruik van MFA-resets, en handmatige tests van online bankieren, treasury en partner-API's. Bewijs gekoppeld aan de verwachtingen uit het FFIEC IT Examination Handbook, de GLBA Safeguards Rule, SEC Regulation S-P en PCI DSS v4.0.1 Requirement 11.4.
Verzekeraars & insurtech
Particuliere en zakelijke schadeverzekeraars, intermediairs en de schade-, polis- en adviseursplatforms daarachter. Handmatige pentests van webapplicaties en API's van offerte-, schade- en adviseursportalen, analyse van accountovername en fraudepaden, review van cloudconfiguraties, en bewijs afgestemd op de Ohio-wet voor informatiebeveiliging bij verzekeraars, gebaseerd op de NAIC Insurance Data Security Model Law en onder toezicht van het Ohio Department of Insurance.
Coatings, industrie & geavanceerde maakindustrie
Producenten van verf, coatings en chemie, fabrikanten van aandrijf- en hydraulische techniek, elektrische apparatuur, las- en metaalbedrijven, en hun toeleveranciers in het noordoosten van Ohio. Segmentatietests van OT en ICS volgens IEC 62443, assessments van engineeringwerkstations, historians en externe toegang door leveranciers, en red team-scenario's die toetsen of een inbraak op kantoor de fabrieksvloer kan bereiken.
Onderzoek, luchtvaart & defensieketen
Een particuliere onderzoeksuniversiteit, een NASA-onderzoekscentrum en de toeleveranciers in luchtvaart, voortstuwing en materialen die rond hen meedingen naar federale opdrachten. Campusnetwerken zijn ingericht op openheid; daarom testen we waar onderzoeksenclaves werkelijk beginnen en eindigen, hoe single sign-on met partnerinstellingen is gefedereerd, en of controlled unclassified information binnen de grens blijft die een CMMC-assessor zal trekken. De voorbereiding van leveranciers op DFARS 7012 en een CMMC Level 2-beoordeling is een veelvoorkomende aanleiding.
Overheid, nutsbedrijven & SaaS
Stads- en countybestuur, regionale vervoers- en waterbedrijven, het gemeentelijke energiebedrijf, en de healthtech- en B2B-softwarebedrijven rond University Circle en de Flats. Voor publieke organisaties is de vraag sinds juni 2024 onomwonden: hoe snel bereikt een indringer domeinbeheer en de back-ups, en zou iemand het merken? Voor softwareleveranciers komt de vraag van zakelijke afnemers die vóór ondertekening een onafhankelijke test van tenantisolatie en API's willen zien, meestal naast een SOC 2-rapport; onze gids op /nl/insights/soc-2-pentest/ legt uit waar auditors op letten.
Compliance-frameworks waarvoor we rapporteren
Klanten in het noordoosten van Ohio leggen zelden aan één toezichthouder verantwoording af. Een zorgsysteem rapporteert aan HHS en zijn onderzoekstak aan federale subsidiegevers; een bank staat tegelijk onder toezicht van examinatoren en de SEC. Daarom schrijven we één rapport met een managementsamenvatting, met bewijs onderbouwde bevindingen met CVSS-score, een aanvalsnarratief en een geprioriteerde herstellijst, aangevuld met een kruisverwijzingstabel die elke bevinding koppelt aan de beheersmaatregel uit Ohio, federale regels of contracten die zij raakt. Een hertest van bevindingen met ernst medium en hoger binnen 90 dagen hoort bij elke opdracht.
- Ohio Data Protection Act (Ohio Revised Code hoofdstuk 1354): verweer tegen schadeclaims na een datalek voor organisaties waarvan het schriftelijke cybersecurityprogramma redelijkerwijs aansluit op een erkend framework zoals het NIST Cybersecurity Framework, ISO 27001 of de CIS Critical Security Controls
- Meldplicht datalekken Ohio (Ohio Revised Code 1349.19): melding aan getroffen inwoners zo snel als redelijkerwijs mogelijk en uiterlijk 45 dagen na ontdekking
- Toezicht door het Ohio Department of Insurance onder Ohio Revised Code hoofdstuk 3965, de Ohio-versie van het NAIC-model voor informatiebeveiliging bij vergunninghouders
- Handhaving van de HIPAA Security Rule door het HHS Office for Civil Rights, inclusief de periodieke technische evaluatie onder 45 CFR 164.308(a)(8)
- Bankentoezicht door de Federal Reserve Bank of Cleveland, de OCC en de FDIC aan de hand van het FFIEC IT Examination Handbook, plus de GLBA Safeguards Rule (16 CFR Part 314) en de wijzigingen van Regulation S-P uit 2024
- Melding van materiële cyberincidenten via Form 8-K Item 1.05 en jaarlijkse openbaarmaking van risicobeheer onder Regulation S-K Item 106 voor de beursgenoteerde industriebedrijven, banken en verzekeraars in de regio
- Eisen voor zones en conduits uit ISA/IEC 62443 voor automatisering op de fabrieksvloer
- DFARS 252.204-7012, NIST SP 800-171 en CMMC 2.0 Level 2 voor federale onderzoekspartners en luchtvaarttoeleveranciers
- AICPA SOC 2-criteria voor monitoring (CC4.1) en detectie van afwijkingen (CC7.1) voor software- en dienstverleners
- PCI DSS v4.0.1 Requirement 11.4 voor betaalkanalen van ziekenhuisfacturatie, nutsbedrijven en gemeente
- NIST SP 800-115 als methodische basis voor elk testplan
Diensten geleverd voor opdrachten in Cleveland
Elke dienst hieronder wordt afgestemd op het noordoosten van Ohio: één API voor online bankieren, een segmentatiereview van een klinisch netwerk, een IEC 62443-beoordeling van een fabriek, of een aanvalssimulatie die probeert van een gephishte mailbox naar een ziekenhuis- of productienetwerk te komen.
Zie ook:Penetratietest in OhioPenetratietest in MichiganPenetratietest in Pennsylvania
Waarom organisaties in Cleveland kiezen voor HackersHub
Inkopers in het noordoosten van Ohio stellen meestal eerst twee vragen: wie gaat er precies testen, en waar zitten zij. Het antwoord is direct. HackersHub is een offensive security-bedrijf met hoofdkantoor in Amsterdam, in 2015 in Nederland opgericht, met meer dan 2.500 opdrachten achter de rug en zonder kantoor, adres of personeel in Ohio. Werk dat via internet kan, zoals tests van de externe perimeter, webapplicaties, API's, cloud en identiteit, voeren we uit vanuit Nederland. Werk dat fysieke aanwezigheid vraagt, zoals interne netwerken, Active Directory, draadloos, klinische afdelingen, fabrieken en fysieke toegang, voeren onze testers uit die naar Cleveland reizen, en waar een scope extra capaciteit vraagt gescreende Amerikaanse uitvoeringspartners die volgens onze methodiek werken. De minimale certificering in het team is OSCP; OSWE- en CREST-houders nemen het applicatie- en geavanceerde werk voor hun rekening, en Michael van Mameren (OSCP) leidt de opdrachten. We testen volgens PTES, de OWASP-testgidsen en NIST SP 800-115, en plannen gesprekken in Eastern-tijd. We bedienen nu al Amerikaanse klanten en bereiden voor het eerste kwartaal van 2027 een volwaardige Amerikaanse marktintroductie voor; daarom kunnen 20 Amerikaanse bedrijven die aan de voorwaarden voldoen vooraf een kosteloze penetratietest krijgen. Klanten geven ons werk een 4,9/5 over 127 reviews.
Veelgestelde vragen: Cleveland
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.