Penetratietest in Maryland
Maryland concentreert meer federale cyber-, wetenschaps- en zorgcapaciteit dan bijna elke andere staat: de National Security Agency, US Cyber Command en de Defense Information Systems Agency in Fort Meade, Aberdeen Proving Ground, NIST in Gaithersburg, de National Institutes of Health in Bethesda, de FDA in Silver Spring, CMS en de Social Security Administration in Woodlawn en NASA Goddard in Greenbelt. Daaromheen liggen Johns Hopkins en het Applied Physics Laboratory, het University of Maryland Medical System en MedStar Health, de biotechcorridor langs de I-270, Lockheed Martin en Marriott in Bethesda, T. Rowe Price en Constellation Energy in Baltimore, en de haven van Baltimore. HackersHub voert handmatige penetratietests, red team operaties en phishing simulaties uit voor Nederlandse en Europese organisaties met een vestiging in dit ecosysteem, door OSCP-, OSWE- en CREST-gecertificeerde testers.
Het dreigingslandschap van Maryland
Het bedrijfsleven van Maryland is voor een groot deel de toeleveringsketen van de federale overheid, en aanvallers behandelen het ook zo. Leveranciers rond Fort Meade, Columbia, Annapolis Junction en Aberdeen beheren controlled unclassified information, programmagegevens en toegangspaden naar federale netwerken, wat hen tot prioriteit maakt voor staatsgelieerde spionagegroepen die liever een onderaannemer met 200 medewerkers binnendringen dan een overheidsinstantie; sinds november 2025 voert het Amerikaanse ministerie van Defensie CMMC 2.0-eisen gefaseerd in de contracten van die bedrijven in, en HackersHub, dat geen C3PAO is, test daartegen uitsluitend om readiness-bewijs te leveren. Toeleveranciers van NIH, FDA, CMS en de Social Security Administration krijgen bovenop HIPAA te maken met FedRAMP, FISMA en instantiespecifieke beveiligingseisen. De publieke sector van Maryland heeft een eigen gedocumenteerde geschiedenis: in mei 2019 legde een RobbinHood-ransomwareaanval het grootste deel van de systemen van de stad Baltimore wekenlang plat, van e-mail tot vastgoedtransacties en waterfacturen, en de stad raamde de kosten van herstel en gederfde inkomsten later op ongeveer 18 miljoen dollar. De ransomwareaanval op het Maryland Department of Health in december 2021 volgde en droeg bij aan de cybersecuritywetgeving van de staat uit 2022 voor overheidsinstanties en lokale overheden. Ziekenhuisgroepen in Baltimore en de voorsteden lopen het risico van klinische ransomware, de biotechcorridor langs de I-270 beheert waardevol onderzoeks-IP, Constellation Energy en de nutsbedrijven van de staat vallen onder NERC CIP, en de haven van Baltimore voegt maritieme operationele technologie toe. Op privacygebied trad de Maryland Online Data Privacy Act op 1 oktober 2025 in werking, met handhaving vanaf april 2026 en een van de strengste regels voor dataminimalisatie van alle Amerikaanse staten, terwijl de Maryland Personal Information Protection Act melding aan inwoners binnen 45 dagen na ontdekking vereist, waarbij eerst de Attorney General wordt geïnformeerd. Opdrachten in de staat leggen routinematig CUI bloot die buiten de gedocumenteerde enclave is beland, laptops van leveranciers die kantoor- en programmanetwerken verbinden, gefedereerde vertrouwensrelaties die sinds de start van het contract niemand meer heeft bekeken, en onderzoeks- en klinische systemen die bereikbaar zijn vanuit gasten- of partnernetwerken.
Pentest nodig in Maryland?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we in Maryland bedienen
De vraag in Maryland volgt de federale ankers: leveranciers, toeleveranciers in zorg en wetenschap, ziekenhuizen, biotech, financiële instellingen en publieke infrastructuur.
Defensie-, inlichtingen- en cyberleveranciers (Fort Meade, Columbia, Aberdeen)
Middelgrote integrators, softwarehuizen en gespecialiseerde onderaannemers die werken voor de instanties in Fort Meade, Aberdeen Proving Ground en Patuxent River. Het testen begint vanaf een laptop binnen het bedrijfsnetwerk, uitgaand van een geslaagde inbraak, en meet hoe ver die komt richting programmagegevens; daarna controleren we de enclave van buitenaf, met elke bevinding geschreven tegen de NIST SP 800-171-eis die zij raakt.
Toeleveranciers van federale zorg-, wetenschaps- en civiele instanties
Software-, data- en dienstverleners voor NIH, FDA, CMS, de Social Security Administration, NIST en NASA Goddard. Webapplicatie-, API- en cloudpentests in lijn met FedRAMP Rev. 5 CA-8 en NIST SP 800-53 Rev. 5, en bewijs dat past in de authority-to-operate-dossiers van de instanties.
Ziekenhuisgroepen & academische geneeskunde (Baltimore en omgeving)
Academische geneeskunde in Oost-Baltimore, ziekenhuisnetwerken in de voorsteden, regionale ziekenhuizen en artsengroepen. Het testwerk richt zich op de wildgroei aan identiteiten tussen de directories van ziekenhuis, universiteit en praktijken, op segmenten met beeldvorming en medische apparatuur, en op remote toegang voor leveranciers, en levert de technische evaluatie die de HIPAA Security Rule in 45 CFR 164.308(a)(8) vraagt.
Biotech & life sciences (I-270-corridor)
Vaccin-, biologics-, cel- en gentherapie- en genomicsbedrijven in Gaithersburg, Rockville, Frederick en Germantown. Segmentatietesten van laboratorium- en productienetwerken, identity-reviews van onderzoeksclouds, en testwerk dat GxP-wijzigingsbeheer en 21 CFR Part 11 respecteert.
Financiële dienstverlening, hospitality & hoofdkantoren
Vermogensbeheerders, verzekeraars, regionale banken en de hospitality- en luchtvaarthoofdkantoren van Montgomery County. Externe en interne penetratietests, identity- en privileged-access-assessments, en phishing simulatie tegen treasury- en leveranciersbetalingsprocessen. Bewijs gemapt op de GLBA Safeguards Rule, SEC Regulation S-P, SOC 2 en PCI DSS v4.0.1 Requirement 11.4.
Energie, haven & overheid
Opwek- en transmissiebedrijven, de haven van Baltimore en haar terminalexploitanten, overheidsinstanties in Annapolis en Baltimore, county's en schooldistricten. Testen van de IT/OT-grens onder expliciete rules of engagement, testen van het externe aanvalsoppervlak en ransomwarepaden, en rapportage gemapt op NERC CIP, de maritieme cybersecurityeisen van de US Coast Guard en de standaarden van het Maryland Department of Information Technology.
Frameworks in Maryland en de VS waarvoor we rapporteren
Rapporten uit Maryland reizen vaak verder dan de eigen auditors van de klant: naar een hoofdaannemer, een autoriserende functionaris bij een overheidsinstantie of een ziekenhuisbestuur. Daarom koppelen we elke bevinding aan elk onderstaand framework dat zij raakt, schrijven we haar zo dat een niet-technische lezer het risico begrijpt, en onderbouwen we haar met bewijs dat een technische reviewer kan reproduceren. Het rapport bevat een executive summary, CVSS-scores, een aanvalsverhaal en een herstelvolgorde, en bevindingen vanaf medium worden binnen 90 dagen hertest. Een Nederlandstalige versie voor het Europese moederbedrijf is mogelijk.
- Maryland Online Data Privacy Act (Md. Code, Com. Law 14-4701 tot 14-4714), van kracht sinds 1 oktober 2025, handhaving vanaf april 2026
- Maryland Personal Information Protection Act (Com. Law 14-3501 e.v.): melding aan getroffen inwoners binnen 45 dagen na ontdekking, waarbij de Attorney General vooraf wordt geïnformeerd
- Beveiligingsbeleid van het Maryland Department of Information Technology (DoIT) en de cybersecuritywetgeving van 2022 voor overheidsinstanties en lokale overheden
- NIST SP 800-171 en DFARS 252.204-7012 voor defensieleveranciers die controlled unclassified information verwerken
- FedRAMP Rev. 5 CA-8 penetration testing en NIST SP 800-53 Rev. 5 / FISMA voor toeleveranciers van federale instanties
- HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie
- 21 CFR Part 11 en GxP-wijzigingsbeheer voor gereguleerde onderzoeks- en productiesystemen
- GLBA Safeguards Rule (16 CFR Part 314) en SEC Regulation S-P voor financiële instellingen en vermogensbeheerders
- PCI DSS v4.0.1 Requirement 11.4 penetration testing
- NERC CIP-005 / CIP-007 / CIP-010 voor entiteiten in het bulk electric system
- SOC 2 Trust Services Criteria CC7.1 / CC7.4
- NIST SP 800-115 technical security testing en de PTES-methodologie
Diensten in heel Maryland
Identity-, applicatie- en cloudtesten vormen de kern van de meeste scopes in Maryland; red teaming en social engineering passen bij organisaties die een vastberaden tegenstander verwachten.
Zie ook:Penetratietest in Washington, DCPenetratietest in VirginiaPenetratietest in Verenigde Staten
Waarom organisaties in Maryland kiezen voor HackersHub
In Maryland is de vraag wie er aan het netwerk komt net zo belangrijk als de vraag hoe goed die persoon is, dus die beantwoorden we vooraf. Sinds de oprichting in 2015 heeft de Amsterdamse firma HackersHub meer dan 2.500 opdrachten afgerond, met een gemiddelde beoordeling van 4,9/5 uit 127 reviews. We hebben geen kantoor in Maryland of elders in de VS en beschikken niet over Amerikaanse overheidsmachtigingen (security clearances). Amerikaanse opdrachten voeren we vanuit Nederland uit met gescreende Amerikaanse delivery partners, en voor het eerste kwartaal van 2027 staat een volledige toetreding tot de Amerikaanse markt gepland. Daarmee passen we bij commerciële, zorg-, onderzoeks- en niet-gerubriceerde leveranciersomgevingen, en niet bij gerubriceerd werk, dat we afwijzen. Applicaties, API's, cloud en externe perimeters testen we remote; reizende testers verzorgen interne, draadloze en fysieke scopes in Baltimore, Annapolis, Columbia, Bethesda, Rockville of Frederick. Iedere tester is minimaal OSCP-gecertificeerd; OSWE- en CREST-specialisten doen het zwaardere applicatie- en infrastructuurwerk, en engagement lead Michael van Mameren (OSCP) bewaakt dat elke opdracht PTES, OWASP WSTG en MASTG en NIST SP 800-115 volgt. Elke scope krijgt een eigen offerte. Meer over onze werkwijze leest u op de pagina Penetratietest laten uitvoeren.
Veelgestelde vragen: Maryland
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.