Penetratietest in Houston, Texas
Houston is de energiehoofdstad van de wereld en de metro met de hoogste dichtheid aan operationele technologie in de Verenigde Staten: de hoofdkantoren van ExxonMobil in Spring, Chevron (dat vanuit Californië verhuist), ConocoPhillips, Phillips 66, Halliburton, Baker Hughes, SLB, Kinder Morgan en Enterprise Products langs de Energy Corridor en de Galleria; de raffinaderijen, chemische fabrieken en LNG-terminals van het Houston Ship Channel en Baytown, inclusief de activiteiten van het in Nederland gewortelde LyondellBasell; het Texas Medical Center, het grootste medische complex ter wereld, met MD Anderson, Houston Methodist, Memorial Hermann, Texas Children's en Baylor College of Medicine; Port Houston, de drukste Amerikaanse haven naar buitenlandse tonnage; NASA's Johnson Space Center en de aannemersbasis van Clear Lake, waaronder KBR, Jacobs, Axiom Space en Intuitive Machines; en de hoofdkantoren van Hewlett Packard Enterprise, Sysco, Waste Management, CenterPoint Energy en NRG. HackersHub voert offensieve beveiligingsopdrachten uit voor Nederlandse en Europese organisaties met een vestiging in Houston, gescoped op het dreigingsmodel dat hier werkelijk geldt: staatsgelieerde pre-positioning tegen besturingssystemen van pijpleidingen en fabrieken, ransomware tegen ziekenhuisgroepen en havens, business-email compromise tegen handels- en treasurydesks, en het bewijs voor de TSA pipeline security directives, IEC 62443, NERC CIP, HIPAA, NIST SP 800-171 en de Texaanse privacywet dat toezichthouders, operators en auditors nu verwachten.
Het dreigingslandschap van Houston
De bepalende incidenten van Houston draaien om de IT/OT-grens. De ransomware-aanval op Colonial Pipeline in mei 2021 trof de operator van een pijpleidingsysteem dat zijn oorsprong heeft in de regio Houston, en legde de brandstofvoorziening van de Amerikaanse oostkust zes dagen stil, niet omdat besturingssystemen waren versleuteld maar omdat de operator de facturerings- en planningssystemen die ze aansturen niet meer kon vertrouwen; binnen twee maanden gaf de Transportation Security Administration haar eerste verplichte pipeline security directives uit, en de reeks SD Pipeline-2021-01 en -02 is sindsdien elk jaar verlengd en aangescherpt, met verplichtingen voor eigenaren van kritieke pijpleidingen om IT van OT te scheiden, toegang op afstand te beheersen, kritieke cybersystemen te patchen, incident-responseplannen te testen en zich te onderwerpen aan een programma van cybersecurity-assessments. In augustus 2021 ontdekte en stopte Port Houston een inbraak waarbij een toen nog ongepatchte kwetsbaarheid in een self-service wachtwoordresetproduct (CVE-2021-40539) werd misbruikt; de haven volgde haar facility security plan onder de Maritime Transportation Security Act, meldde via de Coast Guard, en de zaak werd de basis voor een gezamenlijk advies van CISA, FBI en Coast Guard Cyber Command, waarin de directeur van CISA de aanvaller als een vermoedelijke statelijke actor omschreef. De petrochemische corridor bevindt zich in een regulatoir gat: de Chemical Facility Anti-Terrorism Standards vervielen in juli 2023 toen het Congres de bevoegdheid liet verlopen, zodat fabrieksoperators zich baseren op IEC 62443, API Standard 1164 voor besturingssystemen van pijpleidingen en NIST SP 800-82 Rev. 3 als de normen die hun verzekeraars en klanten accepteren. Energieproducenten en netbeheerders op het ERCOT-net blijven onder NERC CIP vallen, en de winterstorm van 2021 maakte netweerbaarheid in Texas tot een politiek onderwerp. Het Texas Medical Center draagt de blootstelling aan klinische ransomware die de Amerikaanse zorg sinds 2020 kenmerkt, versterkt door duizenden onderzoeks-, klinisch-onderzoeks- en medische-apparatuursystemen verspreid over een dozijn instellingen op één campus. Ruimtevaartaannemers in Clear Lake beheren controlled unclassified information onder NASA- en, waar het om defensiewerk gaat, DFARS-clausules, en vallen nu binnen de doorstroming van CMMC 2.0. Texas reguleert dit via de Texas Data Privacy and Security Act (van kracht sinds 1 juli 2024), de meldtermijnen van Tex. Bus. & Com. Code 521.053 en de in 2025 ingevoerde safe harbor voor erkende beveiligingsframeworks; het eigen cloudleveranciersregime van de staat, TX-RAMP, wordt uitgelegd op onze Texas-pagina op /nl/texas/. Opdrachten in Houston leggen routinematig bloot: engineering-werkstations die dual-homed tussen fabriek en bedrijfsdomein staan, historian- en remote-access-servers die vanuit leveranciers-VPN's bereikbaar zijn, platte netwerken tussen de klinische, onderzoeks- en administratieve segmenten van een ziekenhuis, handels- en treasuryprocessen die uitsluitend op e-mail vertrouwen om wijzigingen in betaalinstructies te bevestigen, en identiteitstenants waarin externen die jaren geleden vertrokken nog permanente toegang hebben.
Pentest nodig in Houston?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we in Houston routinematig bedienen
Herhaalbare dreigingspatronen per sector, gebaseerd op opdrachtdata en niet op leveranciersmarketing.
Olie & gas, pijpleidingen & LNG
Upstream-, midstream- en LNG-operators met hoofdkantoor langs de Energy Corridor en activiteiten langs het Ship Channel en de Golfkust. Testing van IT/OT-grens en segmentatie, review van remote access en leveranciersverbindingen, assessment van SCADA-, historian- en engineering-werkstationomgevingen onder passive-first regels, en rapportage gemapt op de TSA Pipeline Security Directive-reeks, API Standard 1164, IEC 62443-3-3 en NIST SP 800-82 Rev. 3. Onze gids over OT- en ICS-penetratietests op /nl/insights/ot-ics-pentest/ beschrijft de veilige methode.
Petrochemie & raffinage
Raffinaderijen, chemische fabrieken en terminals in Baytown, Deer Park, Pasadena en Texas City. Testing van fabrieksnetwerk en DCS-perimeter op staging- of digital-twin-omgevingen waar de productie niet mag worden geraakt, review van de isolatie van veiligheidsinstrumentatiesystemen, en bevindingen gemapt op IEC 62443, de Responsible Care Security Code en de normen waar verzekeraars na het vervallen van CFATS om vragen.
Energieproductie & nutsbedrijven
Producenten, retail-elektriciteitsleveranciers, transmissie- en distributienetbeheerders en waterbedrijven op en rond het ERCOT-net. NERC CIP-bewijs (CIP-005 electronic security perimeters, CIP-007 systems security management, CIP-010 configuratiebeheer en kwetsbaarheidsassessments), segmentatietesting tussen bedrijfsnetwerk en controlecentrum, en identity-assessments van de Microsoft 365- en Active Directory-omgevingen die vóór de OT staan.
Ziekenhuisgroepen, kankeronderzoek & medische apparatuur
De instellingen van het Texas Medical Center, ziekenhuisgroepen in Harris County, kanker- en kinderonderzoekscentra en de leveranciers van medische apparatuur en health-tech die hen bedienen. Bewijs voor de HIPAA Security Rule-evaluatie (45 CFR 164.308(a)(8)), segmentatie-review van klinische netwerken en medische apparatuur, testing van onderzoeks- en klinisch-onderzoekssystemen onder 21 CFR Part 11-wijzigingsbeheer, en breach-readiness gemapt op 521.053. Onze gids over HIPAA-penetratietests op /nl/insights/hipaa-pentest/ behandelt scope en frequentie.
Havens, logistiek & maritiem
Terminals van Port Houston, rederijen, terminaloperators, expediteurs en de logistieke hoofdkantoren van de regio. Segmentatietesting van terminal operating systems en OT, assessments van havencommunity- en douanekoppelingen, en bewijs voor de Coast Guard-regel Cybersecurity in the Marine Transportation System (33 CFR Part 101 Subpart F, van kracht 16 juli 2025) en het MTSA facility security plan.
Ruimtevaart, luchtvaart & federale aannemers
Aannemers van Johnson Space Center en commerciële ruimtevaartbedrijven in Clear Lake en Webster, en defensieonderaannemers in de hele metro. Readiness-testing voor NIST SP 800-171 en CMMC 2.0 Level 2 van enclaves met controlled unclassified information, bewijs voor DFARS 252.204-7012, segmentatie-review van grondsegment- en missiesystemen, embedded- en firmwaretesting in ons lab in Amsterdam, en exportcontrolebewuste verwerking waar ITAR of EAR van toepassing is.
Compliance-frameworks waarvoor we rapporteren
Opdrachten voor organisaties in Houston voeden routinematig de regulatoire rapportage op federaal niveau, in Texas en richting klanten. Deliverables omvatten een penetration testing statement, executive summary, technisch rapport met proof-of-concept en een remediation tracker, opgemaakt om aan de bewijsvereisten van elk onderstaand framework te voldoen zonder aanvullende documentatie.
- TSA Security Directive Pipeline-2021-01 en Pipeline-2021-02 reeks (sinds 2021 jaarlijks verlengd): IT/OT-segmentatie, toegangsbeheer, continue monitoring, patching van kritieke cybersystemen, testen van het incident-responseplan en een programma van cybersecurity-assessments
- IEC 62443-3-3 en 62443-2-1, API Standard 1164 (3e editie) voor besturingssystemen van pijpleidingen en NIST SP 800-82 Rev. 3 voor operationele technologie
- NERC CIP (CIP-005, CIP-007, CIP-010 en CIP-013 toeleveringsketen) voor bulk electric system-entiteiten op het ERCOT-net
- Texas Data Privacy and Security Act (Tex. Bus. & Com. Code hoofdstuk 541, van kracht 1 juli 2024) en de meldplichten van Tex. Bus. & Com. Code 521.053, inclusief melding aan de Attorney General bij datalekken die 250 of meer Texanen raken
- Texaanse safe harbor voor organisaties die een erkend cybersecurity-framework implementeren (ingevoerd 2025)
- HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie en 21 CFR Part 11 voor gereguleerde onderzoekssystemen
- US Coast Guard-regel Cybersecurity in the Marine Transportation System, 33 CFR Part 101 Subpart F (van kracht 16 juli 2025; cybersecurity plan uiterlijk 16 juli 2027) en de Maritime Transportation Security Act
- NIST SP 800-171, DFARS 252.204-7012 en CMMC 2.0 (32 CFR Part 170) voor ruimtevaart- en defensieaannemers en hun onderaannemers
- SEC-regels voor cybersecurity-openbaarmaking (Regulation S-K Item 106 en Form 8-K Item 1.05) voor de beursgenoteerde energie-, logistiek- en dienstenhoofdkantoren van de metro
- SOC 2 Trust Services Criteria CC7.1 / CC7.4 en PCI DSS v4.0.1 Requirement 11.4 waar betalingen in scope zijn
- OWASP WSTG, OWASP MASVS v2 en OWASP LLM Top 10 2025 voor web-, mobile- en AI-testing; NIST SP 800-115 technical security testing
Diensten geleverd voor opdrachten in Houston
Zelfde wereldwijde dienstencatalogus, gescoped op de regulatoire en operationele-technologiecontext van Texas.
Zie ook:Penetratietest in TexasPenetratietest in DallasPenetratietest in Austin
Waarom organisaties in Houston kiezen voor HackersHub
HackersHub is een praktijkfirma met hoofdkantoor in Amsterdam en zonder Amerikaans kantoor, en we richten opdrachten in Houston daar eerlijk op in. Externe, webapplicatie-, API-, cloud- en firmwaretesting wordt remote vanuit Nederland geleverd, waarbij apparatuur en embedded controllers naar ons lab in Amsterdam worden verzonden wanneer de scope daarom vraagt; interne netwerk-, Active Directory-, draadloze, OT- en fysieke assessments worden on-site in de Energy Corridor, het Ship Channel, het Texas Medical Center en Clear Lake uitgevoerd door reizende testers. Scoping-calls, voortgangsupdates en rapportbesprekingen worden ingepland op Amerikaanse Central Time kantooruren. Elke opdracht wordt geleid door benoemde OSCP-, OSWE- of CREST-gecertificeerde offensieve beveiligingsprofessionals, met Michael van Mameren (OSCP) als engagement lead, en rapporten worden direct geschreven tegen de bewijscategorieën van de TSA-richtlijnen, IEC 62443, NERC CIP, HIPAA, NIST SP 800-171 en SOC 2. Onze thuismarkt geeft ons een bijzondere verwantschap met Houston: Nederland exploiteert de haven van Rotterdam en het grootste raffinage- en chemiecluster van Europa onder dezelfde IEC 62443- en NIS2-druk, en verschillende operators in Houston delen Nederlandse moederbedrijven, partners of fabrieken. Voor Nederlandse en Europese moederbedrijven is tweetalige EN / NL-rapportage standaard, zodat hetzelfde rapport ook de NIS2- of ISO 27001-auditor in Europa bedient. Testing van operationele technologie volgt de wijzigingsvensters van de klant en een go/no-go met de operatie. Senior scoping-calls vinden binnen één werkdag plaats.
Veelgestelde vragen: Houston
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.