Penetratietest in Los Angeles, Californië

Het dreigingslandschap van Los Angeles

Los Angeles is getroffen door twee van de meest geciteerde incidenten in de Amerikaanse beveiligingsgeschiedenis, en beide waren keten- en identiteitsfalen in plaats van exotische exploits. De inbraak bij Sony Pictures Entertainment in Culver City in 2014, door de FBI toegeschreven aan Noord-Koreaanse operators, vernietigde werkstations en lekte onuitgebrachte films, e-mail van bestuurders en personeelsgegevens, en bepaalt nog altijd de contentbeschermingshouding van elke studio in de regio. In september 2022 werd het Los Angeles Unified School District, het op één na grootste schooldistrict van het land, getroffen door de ransomwaregroep Vice Society; het district meldde later aan toezichthouders dat de indringers van 31 juli tot 3 september in het netwerk hadden gezeten, onderzoekers wezen op gelekte inloggegevens inclusief VPN-toegang, en toen het district weigerde te betalen werd ongeveer 500 GB gestolen data gepubliceerd. In de productie-economie zit de blootstelling bij de leveranciers: postproductiehuizen, VFX-studio's, dubbing- en ondertitelingsbedrijven en marketingbureaus beheren pre-release masters namens de studio's en worden via het Trusted Partner Network beoordeeld tegen de Content Security Best Practices van de Motion Picture Association. In El Segundo en Redondo Beach maken satelliet- en raketprogramma's het lucht- en ruimtevaartcluster tot een permanent doelwit voor staatsgelieerde inlichtingenverzameling, en defensiecontractclausules laten de beveiligingseisen voor controlled unclassified information nu van de hoofdaannemers doorstromen naar elke machinewerkplaats en softwareonderaannemer in de South Bay. De havens van San Pedro Bay behandelen cyber sinds de NotPetya-uitbraak van 2017, die een grote terminaloperator wereldwijd stillegde, als operationeel risico; de Port of Los Angeles exploiteert inmiddels samen met haar huurders een Cyber Resilience Center, en de maritieme cyberbeveiligingsregel van de Coast Guard (33 CFR Part 101 Subpart F, van kracht sinds 16 juli 2025) verplicht MTSA-gereguleerde terminals een cybersecurity officer aan te wijzen, een cybersecurity assessment uit te voeren en uiterlijk juli 2027 een cybersecurity plan in te dienen. Ziekenhuisgroepen in Los Angeles dragen de blootstelling aan klinische ransomware die de Amerikaanse zorg sinds het incident bij Hollywood Presbyterian in 2016, de eerste breed gerapporteerde losgeldbetaling door een ziekenhuis, kenmerkt. Californië reguleert dit strenger dan welke andere staat ook: de CCPA zoals gewijzigd door de CPRA, de regels van de California Privacy Protection Agency die sinds 1 januari 2026 van kracht zijn (met de eerste certificeringen van een onafhankelijke cybersecurity-audit voor grotere bedrijven op 1 april 2028), het eigen vorderingsrecht van consumenten bij datalekken door onredelijke beveiliging onder Civil Code 1798.150, de zorgplicht voor redelijke beveiliging van 1798.81.5 en de meldplichten van 1798.82. Opdrachten in Los Angeles leggen routinematig bloot: file-transfer- en reviewplatforms voor producties met permanente leveranciersaccounts, grondsegment- en testnetwerken van satellieten die aan het bedrijfsdomein zijn gekoppeld, terminal operating systems die vanuit kantoornetwerken bereikbaar zijn, identity drift tussen de directories van ziekenhuis, universiteit en artsenpraktijk, en single-sign-on-tenants met honderden slapende identiteiten van externen.

Compliance-frameworks waarvoor we rapporteren

Opdrachten voor organisaties in Los Angeles voeden routinematig de regulatoire rapportage in Californië, op federaal niveau en richting klanten. Deliverables omvatten een penetration testing statement, executive summary, technisch rapport met proof-of-concept en een remediation tracker, opgemaakt om aan de bewijsvereisten van elk onderstaand framework te voldoen zonder aanvullende documentatie.

• California Consumer Privacy Act zoals gewijzigd door de California Privacy Rights Act (Civil Code 1798.100 e.v.), inclusief het eigen vorderingsrecht bij datalekken door het nalaten van redelijke beveiliging (1798.150)
• Regels van de California Privacy Protection Agency, van kracht sinds 1 januari 2026: risicobeoordelingen, geautomatiseerde besluitvorming en de onafhankelijke cybersecurity-audit, met eerste certificeringen op 1 april 2028 voor bedrijven boven USD 100 miljoen omzet en gefaseerd tot 2030
• California Civil Code 1798.81.5 redelijke beveiliging (de Attorney General wijst naar de CIS Critical Security Controls als minimum) en 1798.82 meldplicht bij datalekken, met een afschrift aan de Attorney General wanneer meer dan 500 inwoners van Californië worden geïnformeerd
• California Confidentiality of Medical Information Act (Civil Code 56 e.v.) en HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie
• Motion Picture Association Content Security Best Practices en Trusted Partner Network-assessments voor leveranciers in productie, postproductie en distributie
• CMMC 2.0 (32 CFR Part 170), NIST SP 800-171 en DFARS 252.204-7012 voor defensie- en ruimtevaartaannemers en hun onderaannemers
• US Coast Guard-regel Cybersecurity in the Marine Transportation System, 33 CFR Part 101 Subpart F (van kracht 16 juli 2025; cybersecurity plan uiterlijk 16 juli 2027) en de Maritime Transportation Security Act
• GLBA Safeguards Rule (16 CFR Part 314), SEC Regulation S-P (gewijzigd mei 2024) en de California Financial Information Privacy Act voor banken, adviseurs en fintech
• Eisen van het California Department of Financial Protection and Innovation voor kredietverstrekkers, geldtransactiekantoren en digital-asset-bedrijven
• FedRAMP Rev. 5 CA-8 penetration testing en NIST SP 800-53 Rev. 5 voor onderzoeks- en overheidscloud
• SOC 2 Trust Services Criteria CC7.1 / CC7.4 en PCI DSS v4.0.1 Requirement 11.4 waar betalingen in scope zijn
• OWASP WSTG, OWASP MASVS v2 en OWASP LLM Top 10 2025 voor web-, mobile- en AI-testing; NIST SP 800-115 technical security testing

Waarom organisaties in Los Angeles kiezen voor HackersHub

HackersHub is een praktijkfirma met hoofdkantoor in Amsterdam en zonder Amerikaans kantoor, en we richten opdrachten in Los Angeles daar eerlijk op in. Externe, webapplicatie-, API-, cloud- en firmwaretesting wordt remote vanuit Nederland geleverd, waarbij apparatuur en embedded systemen naar ons lab in Amsterdam worden verzonden wanneer de scope daarom vraagt; interne netwerk-, Active Directory-, draadloze, OT- en fysieke assessments worden on-site in Los Angeles County, de South Bay, Burbank en het havencomplex uitgevoerd door reizende testers. Scoping-calls, voortgangsupdates en rapportbesprekingen worden ingepland op Amerikaanse Pacific Time kantooruren. Elke opdracht wordt geleid door benoemde OSCP-, OSWE- of CREST-gecertificeerde offensieve beveiligingsprofessionals, met Michael van Mameren (OSCP) als engagement lead, en rapporten worden direct geschreven tegen de bewijscategorieën van CCPA/CPRA, HIPAA, SOC 2, PCI DSS en de MPA. Pre-release content en controlled unclassified information worden verwerkt onder schriftelijke gegevensverwerkingsafspraken, en testing van productie- en klinische systemen volgt de wijzigingsbeheerprocedures van de klant. Voor Nederlandse en Europese moederbedrijven is tweetalige EN / NL-rapportage standaard, zodat hetzelfde rapport ook de AVG-, NIS2- of ISO 27001-auditor in Europa bedient. Senior scoping-calls vinden binnen één werkdag plaats.