Penetratietest in Florida

Het dreigingslandschap van Florida

Florida is een proeftuin geweest voor ransomware tegen publieke organisaties en ziekenhuizen, en de wetgever heeft daar directer op gereageerd dan in de meeste staten. In juni 2019 betaalden twee steden in Florida, Riviera Beach en Lake City, elk enkele honderdduizenden dollars aan losgeld nadat aanvallen hun gemeentelijke systemen hadden platgelegd. De golf van ransomware tegen lokale overheden die volgde, leidde ertoe dat Florida in 2022 als een van de eerste staten overheidsinstanties en lokale overheden verbood om nog losgeld te betalen, onder Fla. Stat. 282.3186, en hen verplichtte ransomware-incidenten binnen 12 uur aan de staat te melden. In februari 2023 haalde Tallahassee Memorial HealthCare, een van de grootste ziekenhuisgroepen in Noord-Florida, na een cyberaanval zijn IT-systemen offline, leidde het op de meest kritieke na alle spoedpatiënten om naar andere ziekenhuizen en annuleerde het ruim een week lang niet-spoedeisende ingrepen. Die zaken bepalen het risicokader voor de rest van de staat. Zorggroepen van Jacksonville tot Miami draaien op dezelfde platte klinische netwerken en verouderde remote access die Tallahassee Memorial platlegden. De financiële-technologiebedrijven van Jacksonville en de backoffices van Tampa Bay verwerken betalingen, kaarttransacties en effectenhandel voor klanten in het hele land, zodat één gecompromitteerd serviceaccount of één koppeling met een derde partij gegevens ver buiten Florida kan bereiken. De defensie- en luchtvaartsector rond MacDill, Orlando en de Space Coast heeft te maken met staatsgelieerde spionage en met de CMMC 2.0-eisen die inmiddels in contracten van het Amerikaanse ministerie van Defensie staan. Hospitality, pretparken en cruisemaatschappijen beheren betaal- en gastgegevensomgevingen op een schaal die weinig sectoren evenaren. Florida reguleert dit via de Florida Information Protection Act (Fla. Stat. 501.171), die redelijke maatregelen ter bescherming van persoonsgegevens vereist, melding aan getroffen inwoners binnen 30 dagen na vaststelling van een datalek en melding aan het Department of Legal Affairs wanneer 500 of meer inwoners van Florida zijn getroffen; via de Florida Digital Bill of Rights, van kracht sinds 1 juli 2024, die privacy- en beveiligingsplichten oplegt aan de grootste technologie- en advertentiegedreven verwerkingsverantwoordelijken en toestemmingseisen voor gevoelige gegevens aan elk bedrijf; en via Chapter 282, dat beveiligingsstandaarden en meldplichten vastlegt voor overheidsinstanties en lokale overheden. Typische bevindingen in Florida zijn remote-access- en MSP-tooling met brede permanente toegang, platte gemeentelijke en klinische netwerken, betaal- en property-managementsegmenten die bereikbaar zijn vanaf gast- of leveranciersnetwerken, en identity-tenants waarin overgenomen dochters veel meer toegang erven dan ze nodig hebben.

Frameworks van Florida en de VS waarvoor we rapporteren

Florida combineert een korte meldtermijn, een privacywet gericht op de grootste databedrijven en een opvallend voorschrijvende cyberwet voor de publieke sector. HackersHub koppelt elke bevinding aan de bepaling die zij raakt, van Fla. Stat. 501.171 tot PCI DSS of CMMC, zodat één rapport tegelijk de privacy officer, de QSA en de contractbeheerder bedient. Europese moederbedrijven kunnen het rapport tweetalig (EN / NL) ontvangen, met een extra mapping op NIS2, DORA of de AVG.

• Florida Information Protection Act van 2014 (Fla. Stat. 501.171): redelijke maatregelen ter bescherming van persoonsgegevens, melding aan getroffen inwoners binnen 30 dagen na vaststelling van een datalek, en melding aan het Department of Legal Affairs bij 500 of meer getroffen inwoners van Florida
• Florida Digital Bill of Rights (van kracht sinds 1 juli 2024): beveiligings- en privacyplichten voor de grootste verwerkingsverantwoordelijken, en toestemmingseisen voor de verkoop van gevoelige gegevens door elk bedrijf
• Fla. Stat. Chapter 282, waaronder de standaarden van de State Cybersecurity Act (282.318) voor overheidsinstanties en lokale overheden en hun meldplichten aan de staat
• Fla. Stat. 282.3186 (2022): overheidsinstanties en lokale overheden mogen geen losgeld betalen of anderszins aan een losgeldeis voldoen
• Technische evaluatieplicht onder de HIPAA Security Rule (45 CFR 164.308(a)(8)) voor zorgaanbieders, zorgverzekeraars en hun business associates
• PCI DSS v4.0.1 Requirement 11.4 penetratietests
• GLBA Safeguards Rule (16 CFR Part 314), het FFIEC IT Examination Handbook en SEC Regulation S-P (gewijzigd in 2024)
• NYDFS 23 NYCRR Part 500 voor bedrijven uit Florida met een vergunning in New York
• CMMC 2.0 Level 2 (NIST SP 800-171) en DFARS 252.204-7012
• SEC-regels voor cybersecuritymeldingen (Form 8-K Item 1.05, Regulation S-K Item 106)
• SOC 2 Trust Services Criteria CC4.1, CC7.1 en CC7.4
• NIST SP 800-115 technical security testing

Waarom organisaties in Florida met HackersHub werken

HackersHub werkt vanuit Amsterdam en heeft geen kantoor, adres of personeel in Florida; het leveringsmodel is op dat gegeven gebouwd. De meeste opdrachten in Florida beginnen remote: externe perimeter, webapplicaties, mobiele apps, API's en cloudaccounts worden vanuit Nederland aangevallen door de eigen specialisten van HackersHub, vaak tijdens de nacht in Florida, zodat boekingssystemen en betaalstromen buiten de piekbelasting worden getest. Waar de scope dat vraagt, volgt een tweede fase op locatie: een tester reist naar het ziekenhuis, resort, de campus of de overheidsinstantie voor intern netwerk-, draadloos of fysiek werk, en bij grotere programma's breiden gescreende Amerikaanse delivery partners het team uit onder dezelfde methodiek en review. Voortgangsoverleg vindt plaats in Eastern time. Michael van Mameren (OSCP) leidt elke opdracht, elke tester heeft minimaal OSCP, en OSWE- en CREST-gecertificeerde specialisten zorgen voor diepgang op applicaties en infrastructuur. Rapporten volgen PTES, de OWASP WSTG en NIST SP 800-115, en herstel van bevindingen vanaf medium wordt binnen 90 dagen met een hertest geverifieerd. Voor Nederlandse en Europese groepen met een vestiging in Florida betekent dit één leverancier aan beide kanten van de oceaan. Met meer dan 2.500 afgeronde opdrachten sinds de oprichting in 2015 betreedt HackersHub in het eerste kwartaal van 2027 de Amerikaanse markt op volle schaal.