31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
FedRAMP Pentest: Wat Rev. 5-Maatregel CA-8 en de Penetration Test Guidance van een Cloudaanbieder Vragen
Een cloudaanbieder krijgt en behoudt geen FedRAMP-autorisatie zonder een jaarlijkse penetratietest door zijn Third Party Assessment Organization, langs zes voorgeschreven aanvalsvectoren, en sinds Rev. 5 daarbovenop een jaarlijkse red team-oefening. Deze gids legt Europese SaaS-bedrijven die de Amerikaanse federale markt betreden uit welke maatregelen gelden, wie wat mag uitvoeren en hoe u zich voorbereidt zodat de test van de 3PAO bevestigt in plaats van ontdekt.
Wat FedRAMP is en voor wie het geldt
Het Federal Risk and Authorization Management Program (FedRAMP) is de gestandaardiseerde aanpak van de Amerikaanse overheid voor het beoordelen, autoriseren en continu monitoren van clouddiensten die federale instanties gebruiken. Het begon in 2011 als beleid van het Office of Management and Budget (OMB) en werd met de FedRAMP Authorization Act van december 2022 wettelijk verankerd. Iedere cloudaanbieder (CSP) die wil dat een federale instantie overheidsinformatie in zijn dienst opslaat of verwerkt, heeft een FedRAMP-autorisatie nodig op het niveau Low, Moderate of High, waarbij Moderate het overgrote deel van de geautoriseerde diensten dekt.
De beveiligingsbaselines komen uit NIST SP 800-53. FedRAMP is in 2023 overgestapt op Revision 5 van die catalogus, en de Rev. 5-baselines zijn waar iedere CSP vandaag tegen wordt beoordeeld. De autorisatie wordt verleend door een instantie (de vroegere route via de Joint Authorization Board is vervangen door autorisaties per instantie onder de FedRAMP Board). De onafhankelijke beoordeling wordt uitgevoerd door een Third Party Assessment Organization (3PAO), geaccrediteerd door de American Association for Laboratory Accreditation (A2LA) volgens ISO/IEC 17020 plus FedRAMP-specifieke eisen. De 3PAO stelt het Security Assessment Report (SAR) op; de penetratietest is daarvan een verplicht onderdeel.
Voor een Europees softwarebedrijf loopt de route naar deze markt doorgaans via een Amerikaanse entiteit en een in de VS gehoste instantie van het platform, omdat instanties verwachten dat de autorisatiegrens, de data en het ondersteunend personeel volgens de FedRAMP-normen zijn gedocumenteerd. Het engineering- en beveiligingswerk kan echter overal worden gedaan, en daar wordt een Europese testpartner relevant. Nederlandse SaaS-bedrijven die via een Amerikaanse dochter federale klanten bedienen, lopen tegen precies deze eisen aan.
De Rev. 5-maatregelen die penetratietesten regelen
Penetratietesten valt in de familie Assessment, Authorization and Monitoring (CA), ondersteund door maatregelen voor kwetsbaarheidsbeheer in de familie Risk Assessment (RA).
CA-8: penetratietesten, minimaal jaarlijks
Maatregel CA-8 verplicht de CSP om penetratietesten uit te voeren op de systemen binnen de autorisatiegrens. FedRAMP stelt de frequentieparameter op minimaal jaarlijks en vereist bovendien een test bij de initiële autorisatie en na significante wijzigingen die het aanvalsoppervlak veranderen. De test moet door de 3PAO worden uitgevoerd als onderdeel van de beoordeling, en de methodiek moet de FedRAMP Penetration Test Guidance volgen, inclusief alle toepasselijke aanvalsvectoren.
CA-8(1): onafhankelijke testers
Deze verzwaring eist dat de testers onafhankelijk zijn van het systeem dat zij testen, wat FedRAMP invult door de 3PAO de test te laten uitvoeren. De 3PAO moet zelf vrij zijn van belangenconflicten: hij mag de beveiligingsmaatregelen van het beoordeelde systeem niet hebben ontworpen, geïmplementeerd of erover hebben geadviseerd. Het eigen beveiligingsteam van een CSP, of een adviesbureau dat de maatregelen heeft helpen bouwen, kan de autorisatietest niet uitvoeren.
CA-8(2): red team-oefeningen, nieuw in Rev. 5
Nieuw in de FedRAMP Rev. 5-baselines voor Moderate en High is CA-8(2), dat minimaal jaarlijks red team-oefeningen vereist die pogingen van tegenstanders om het systeem te compromitteren simuleren. Waar de CA-8-penetratietest vectorgedreven en breed is, is de red team-oefening doelgedreven: kan een tegenstander overheidsdata of het beheervlak bereiken zonder te worden gedetecteerd en gestopt? De resultaten voeden de jaarlijkse beoordeling, en de 3PAO beoordeelt de oefening en het bewijs.
RA-5, CA-7 en CA-2: de maatregelen rondom de test
RA-5 vereist geauthenticeerde kwetsbaarheidsscans van besturingssystemen, databases, webapplicaties en containers, minimaal maandelijks, met rapportage in de continue monitoring (CA-7) en opvolging tot sluiting in het Plan of Action and Milestones. CA-2 vereist de jaarlijkse beoordeling van maatregelen waarvan de penetratietest onderdeel is. Een CSP met zwakke maandelijkse scans heeft doorgaans een lang penetratietestrapport; de twee maatregelen horen samen te werken.
De zes aanvalsvectoren in de FedRAMP Penetration Test Guidance
De richtlijn schrijft voor vanuit welke perspectieven de 3PAO moet testen. Iedere vector die op de dienst van toepassing is, is verplicht, en het SAR moet uitleggen waarom een vector eventueel is uitgesloten.
1. Extern naar de kantooromgeving
Social engineering van CSP-medewerkers, voornamelijk phishing, om te toetsen of een aanvaller voet aan de grond krijgt in de kantooromgeving waarmee de clouddienst wordt beheerd. Omvat het oogsten van inloggegevens en scenario's met kwaadaardige bijlagen of links tegen een steekproef van medewerkers met toegang tot het systeem.
2. Extern naar het CSP-doelsysteem
Niet-geauthenticeerde aanval vanaf internet op iedere extern blootgestelde component binnen de autorisatiegrens: webfrontends, API's, authenticatie-endpoints, beheerportalen, DNS- en maildiensten. De klassieke externe penetratietest, gescopet op de volledige grens in plaats van een steekproef.
3. Tenant naar het CSP-beheersysteem
Geauthenticeerde aanval vanuit een klanttenant richting het beheervlak van de aanbieder: kan een tenantgebruiker escaleren naar beheer aan de CSP-kant, orkestratie- of hypervisorlagen bereiken, of configuratie en geheimen lezen die van de aanbieder zijn? De vector die cloudtesten onderscheidt van gewone applicatietesten.
4. Tenant naar tenant
Geauthenticeerde aanval vanuit één tenant richting een andere: data-isolatie, autorisatie op objectniveau, gedeelde caches, message queues, storage buckets en logpijplijnen. Isolatiefouten tussen tenants zijn de bevindingen die instanties het meest vrezen, omdat de ene tenant een federale instantie kan zijn en de andere wie dan ook.
5. Mobiele applicatie naar het doelsysteem
Waar de dienst een mobiele applicatie biedt: het testen van de iOS- en Android-clients en hun communicatie met de backend: lokale opslag, certificaatvalidatie, authenticatietokens en het API-oppervlak dat de app blootstelt. Volgt in de praktijk OWASP MASVS v2 en MASTG.
6. Client-side software of agents naar het doelsysteem
Waar de dienst afhankelijk is van geïnstalleerde software, browserextensies of agents op klantsystemen: het testen van die code en haar kanaal naar de dienst: updatemechanismen, lokale rechten, opgeslagen inloggegevens en het vertrouwen dat de backend stelt in wat de client rapporteert.
Wie doet wat: CSP, 3PAO, onafhankelijke tester en instantie
FedRAMP is precies over rollen. Ze verwarren is de snelste manier om een penetratietest uit het autorisatiedossier geweigerd te krijgen.
| Activiteit | Wie voert uit | Toelichting |
|---|---|---|
| Autorisatiepenetratietest (CA-8) voor het SAR | De 3PAO | Verplicht; volgt de Penetration Test Guidance; resultaten in het SAR met een hertest van verholpen bevindingen |
| Jaarlijkse penetratietest in de continue monitoring | De 3PAO | Onderdeel van de jaarlijkse beoordeling; dezelfde vectoren; dezelfde onafhankelijkheidsregels |
| Readiness- of voorbereidende penetratietest | Een onafhankelijk testbedrijf of gekwalificeerd intern team | Geen onderdeel van het dossier; bedoeld om te vinden en te herstellen vóór de 3PAO test; sterk aanbevolen vóór de eerste autorisatie |
| Red team-oefening (CA-8(2)) | Een onafhankelijk red team; de 3PAO beoordeelt de oefening en het bewijs | Doelgericht, jaarlijks; stem met uw 3PAO en instantie af hoe het bewijs in de jaarlijkse beoordeling wordt gepresenteerd |
| Maandelijkse kwetsbaarheidsscans (RA-5) | De CSP | Geauthenticeerde scans; resultaten in de maandelijkse ConMon-opleveringen; POA&M voor open punten |
| Testen na significante wijzigingen | De CSP, met betrokkenheid van de 3PAO waar het Significant Change Request dat vereist | Een nieuwe extern blootgestelde component of een wijziging in authenticatie leidt doorgaans tot een test door de 3PAO |
| Acceptatie van het autorisatiedossier | De autoriserende instantie | Beoordeelt het SAR inclusief de penetratietest; kan aanvullende tests eisen |
Wat een CSP vóór de penetratietest gereed moet hebben
De test van de 3PAO is in tijd begrensd. Iedere dag die opgaat aan het inrichten van toegang of het verhelderen van de grens, is een dag die niet aan testen wordt besteed, en gaten in de voorbereiding verschijnen in het SAR als beperkingen.
- Een diagram van de autorisatiegrens en een datastroomdiagram die exact overeenkomen met het System Security Plan (SSP), met iedere extern blootgestelde component en iedere koppeling
- Ondertekende rules of engagement voor de zes vectoren, het testvenster, noodcontacten, de te testen productie- of productie-equivalente omgeving en de uitsluiting van denial-of-service-achtige tests
- Testaccounts voor minimaal twee afzonderlijke tenants, met meerdere rollen per tenant, zodat de vectoren tenant-naar-tenant en tenant-naar-beheer kunnen worden uitgevoerd
- Beheer- en leesaccounts voor het beheervlak waar de richtlijn een geauthenticeerde beoordeling van de CSP-kant vereist
- Actuele builds van de mobiele applicatie voor elk ondersteund platform, met testaccounts en eventueel vereiste apparaatregistratie
- Installatiebestanden of pakketten van client-side software of agents, met documentatie van hun update- en authenticatiemechanismen
- Een lijst van medewerkers binnen de scope van de social-engineeringvector, afgestemd met HR en juridische zaken, met een succescriterium dat geen uitvoering van malware vereist
- De meest recente maandelijkse scanresultaten en het POA&M, zodat de test zich kan richten op exploitatie en het aaneenschakelen van zwakheden in plaats van op het herontdekken van bekende punten
- Het penetratietestrapport van vorig jaar en het hertestbewijs, waarmee de 3PAO de sluiting van eerdere bevindingen vergelijkt
FedRAMP 20x en wat er verandert
In maart 2025 kondigde het FedRAMP-programmabureau FedRAMP 20x aan, een moderniseringstraject dat een groot deel van het documentzware autorisatieproces moet vervangen door machineleesbaar bewijs, Key Security Indicators en continue validatie, te beginnen met een pilot voor Low-impact SaaS en uitgebreid naar Moderate. OMB-memorandum M-24-15 van juli 2024 zette de beleidsrichting: snellere autorisaties, meer automatisering en een grotere rol voor instanties en voor de eigen continue zekerheid van CSP's. Eind 2026 is het programma in transitie: Rev. 5 blijft de baseline waartegen autorisaties worden verleend en beoordeeld, terwijl de 20x-pilots bepalen hoe bewijs in de toekomst wordt verzameld en gevalideerd.
Wat onder 20x niet verandert, is de noodzaak van offensief testen. De Key Security Indicators die worden ontwikkeld, verwachten nog altijd dat een CSP aantoont dat zijn grens een aanval weerstaat, dat tenants geïsoleerd zijn en dat het beheervlak beschermd is, en het programma heeft aangegeven dat penetratietesten en red teaming deel blijven uitmaken van de bewijsset. CSP's die de jaarlijkse 3PAO-test als een eenmalig jaarlijks evenement behandelen, zullen de overgang naar continue validatie zwaarder vinden dan CSP's die nu al tussen de beoordelingen door testen.
Hoe een Europees testbedrijf een Amerikaanse cloudaanbieder ondersteunt
Wij voeren de autorisatiepenetratietest niet uit; dat is de rol van de 3PAO, en de onafhankelijkheid vereist dat die daar blijft. Wat wij doen, is ervoor zorgen dat de test van de 3PAO een schone omgeving bevestigt. Vóór de initiële beoordeling en voorafgaand aan iedere jaarlijkse beoordeling voeren wij een readiness-penetratietest uit langs dezelfde zes aanvalsvectoren en dezelfde FedRAMP-richtlijn die de 3PAO gebruikt, zodat de CSP bevindingen op eigen tempo herstelt in plaats van onder POA&M-deadlines. Tussen de beoordelingen testen wij nieuwe functies, nieuwe API's en significante wijzigingen voordat zij binnen de grens in productie gaan. Voor CA-8(2) ontwerpen en voeren wij de jaarlijkse red team-oefening uit met doelen die met de security lead van de CSP zijn afgestemd, en leveren wij het bewijs in de vorm die de 3PAO nodig heeft om het te beoordelen.
Twee praktische opmerkingen voor Amerikaanse CSP's die met een niet-Amerikaans bedrijf werken. Ten eerste beperken sommige instanties en impactniveaus van het Amerikaanse ministerie van Defensie de toegang tot overheidsdata tot Amerikaanse staatsburgers en ingezetenen; readiness-testen worden normaal uitgevoerd op een productie-equivalente omgeving zonder overheidsdata, wat dit bezwaar wegneemt, maar bevestig de beperking bij uw instantie voordat u toegang verleent. Ten tweede koppelen onze rapporten bevindingen aan de maatregelcodes van NIST SP 800-53 Rev. 5 en aan de FedRAMP-vector waaronder zij vallen, zodat uw SSP, POA&M en SAR-teksten zonder herwerk op elkaar aansluiten. Testers zijn OSCP-gecertificeerd en worden in het rapport bij naam genoemd. HackersHub is gevestigd in Amsterdam, Nederland en test in de VS gehoste omgevingen op afstand binnen afgesproken vensters.
Veelgestelde vragen
Wilt u dat de test van de 3PAO bevestigt in plaats van ontdekt?
Wij voeren readiness-testen uit langs alle zes FedRAMP-vectoren, testen wijzigingen tussen beoordelingen en leveren de jaarlijkse red team-oefening onder CA-8(2) met bewijs dat uw 3PAO kan beoordelen. Praat met een expert.