Penetratietest in Miami, Florida

Het dreigingslandschap van Miami en Zuid-Florida

Het bepalende incident van Miami reikte veel verder dan de stad. Op 2 juli 2021 verspreidde de ransomwaregroep REvil ransomware via het on-premises VSA-product voor remote monitoring van Kaseya, een IT-beheerleverancier met hoofdkantoor in Miami, en versleutelde daarmee de downstream-klanten van managed service providers wereldwijd; Kaseya meldde dat minder dan 60 directe klanten en minder dan 1.500 downstream-bedrijven waren geraakt, en de aanvallers eisten USD 70 miljoen voor een universele decryptor. De zaak maakte compromittering van managed service providers en de softwaretoeleveringsketen tot het primaire risicomodel voor elk klein en middelgroot bedrijf in Zuid-Florida dat zijn IT uitbesteedt. De cruisesector, die hier haar hoofdkantoren heeft, doorliep een eigen cyclus: Carnival Corporation maakte een e-mailaccountcompromittering uit 2019 openbaar die ongeveer 180.000 medewerkers en gasten raakte, schikte in 2022 met 45 procureurs-generaal van staten en het District of Columbia voor USD 1,25 miljoen, en betaalde los daarvan een boete van USD 5 miljoen aan het New York Department of Financial Services voor vier incidenten, waarvan twee ransomware, die de toezichthouder toeschreef aan ontbrekende multifactorauthenticatie en andere tekortkomingen onder 23 NYCRR Part 500. De handelshuizen, hedgefondsen en family offices van Brickell zijn een natuurlijk doelwit voor business-email compromise en betaalfraude, en de fintech-, betaal- en digital-asset-bedrijven die hen volgden krijgen te maken met onderzoek door sponsorbanken, examens van staatstoezichthouders voor geldtransactiekantoren en, voor wie klanten in New York bedient, de cybersecurityregeling van NYDFS met de jaarlijkse penetratietestverplichting in artikel 500.5. Ziekenhuisgroepen in Miami-Dade dragen de blootstelling aan klinische ransomware die de Amerikaanse zorg sinds 2020 kenmerkt, in een county waar één publiek ziekenhuisstelsel een groot deel van de bevolking bedient. De terminals van PortMiami en de cruisekades zijn MTSA-gereguleerde faciliteiten die nu onder de maritieme cyberbeveiligingsregel van de Coast Guard vallen, en cruiseschepen zelf vallen onder de IMO-resolutie over maritiem cyberrisicobeheer. Florida reguleert dit via de Florida Information Protection Act van 2014 (Fla. Stat. 501.171), die elke onder de wet vallende organisatie verplicht redelijke maatregelen te nemen om persoonsgegevens te beschermen, getroffen inwoners binnen 30 dagen na vaststelling van een datalek te informeren en het Department of Legal Affairs te informeren wanneer 500 of meer inwoners van Florida zijn geraakt; via de Florida Digital Bill of Rights (van kracht sinds 1 juli 2024), die uitgebreide privacyverplichtingen oplegt aan de grootste technologie- en advertentiegedreven verwerkingsverantwoordelijken en toestemmingseisen voor gevoelige gegevens aan elk bedrijf; en via een wet uit 2022 die overheidsinstanties en lokale overheden verbiedt losgeld te betalen. Opdrachten in Miami leggen routinematig bloot: remote monitoring- en beheertools met permanente beheerdersrechten over tientallen klantnetwerken, treasury- en afwikkelingsprocessen die wijzigingen in betaalinstructies uitsluitend per e-mail bevestigen, property-management- en kassasegmenten van hotels die vanuit het gasten-wifi bereikbaar zijn, scheeps- en walnetwerken die via satellietverbindingen aan elkaar zijn gekoppeld, en identiteitstenants waarin Latijns-Amerikaanse dochterondernemingen veel meer toegang erven dan hun risicoprofiel rechtvaardigt.

Compliance-frameworks waarvoor we rapporteren

Opdrachten voor organisaties in Miami voeden routinematig de regulatoire rapportage in Florida, New York, op federaal niveau en richting klanten. Deliverables omvatten een penetration testing statement, executive summary, technisch rapport met proof-of-concept en een remediation tracker, opgemaakt om aan de bewijsvereisten van elk onderstaand framework te voldoen zonder aanvullende documentatie.

• Florida Information Protection Act van 2014 (Fla. Stat. 501.171): redelijke maatregelen ter bescherming van persoonsgegevens, melding aan getroffen inwoners binnen 30 dagen, melding aan het Department of Legal Affairs bij datalekken die 500 of meer inwoners van Florida raken, en handhaving onder de Florida Deceptive and Unfair Trade Practices Act
• Florida Digital Bill of Rights (Fla. Stat. 501.701 e.v., van kracht 1 juli 2024): uitgebreide privacyverplichtingen voor verwerkingsverantwoordelijken boven USD 1 miljard omzet die aan de technologie- of advertentiecriteria voldoen, en toestemmingseisen voor de verkoop van gevoelige gegevens die voor alle bedrijven gelden
• Fla. Stat. 282.3186 verbod op losgeldbetalingen door overheidsinstanties en lokale overheden (2022)
• NYDFS 23 NYCRR Part 500 voor in New York vergunde banken, verzekeraars, geldtransactiekantoren en virtual-currency-bedrijven, inclusief de jaarlijkse penetratietest van 500.5 en de meldplichten van 500.17
• Eisen van het Florida Office of Financial Regulation voor geldtransactiekantoren en verkopers van betaalinstrumenten (Fla. Stat. hoofdstuk 560) en FinCEN-verplichtingen onder de Bank Secrecy Act
• GLBA Safeguards Rule (16 CFR Part 314) en SEC Regulation S-P (gewijzigd mei 2024) voor banken, adviseurs, fondsen en broker-dealers
• PCI DSS v4.0.1 Requirement 11.4 penetration testing voor hospitality-, cruise-, retail- en betaalomgevingen
• HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie
• US Coast Guard-regel Cybersecurity in the Marine Transportation System, 33 CFR Part 101 Subpart F (van kracht 16 juli 2025; cybersecurity plan uiterlijk 16 juli 2027), de Maritime Transportation Security Act en IMO-resolutie MSC.428(98) voor schepen
• SEC-regels voor cybersecurity-openbaarmaking (Regulation S-K Item 106 en Form 8-K Item 1.05) voor de beursgenoteerde cruise-, logistiek- en consumentenhoofdkantoren van de metro
• SOC 2 Trust Services Criteria CC7.1 / CC7.4
• OWASP WSTG, OWASP MASVS v2 en OWASP LLM Top 10 2025 voor web-, mobile- en AI-testing; NIST SP 800-115 technical security testing

Waarom organisaties in Miami kiezen voor HackersHub

HackersHub is een praktijkfirma met hoofdkantoor in Amsterdam en zonder Amerikaans kantoor, en we richten opdrachten in Miami daar eerlijk op in. Externe, webapplicatie-, mobile-, API- en cloudtesting wordt remote vanuit Nederland geleverd, waarbij apparatuur naar ons lab in Amsterdam wordt verzonden wanneer de scope daarom vraagt; interne netwerk-, Active Directory-, draadloze, scheeps-, hotel- en fysieke assessments worden on-site in Miami-Dade, Broward en in PortMiami uitgevoerd door reizende testers. Scoping-calls, voortgangsupdates en rapportbesprekingen worden ingepland op Amerikaanse Eastern Time kantooruren. Elke opdracht wordt geleid door benoemde OSCP-, OSWE- of CREST-gecertificeerde offensieve beveiligingsprofessionals, met Michael van Mameren (OSCP) als engagement lead, en rapporten worden direct geschreven tegen de bewijscategorieën van FIPA, NYDFS Part 500, PCI DSS, HIPAA, SOC 2 en de SEC. Voor bedrijven die hun Latijns-Amerikaanse activiteiten vanuit Miami aansturen, testen we Amerikaanse en regionale dochterondernemingen in één opdracht en rapporteren we in het Engels met op verzoek een Spaanse of Portugese executive summary. Voor Nederlandse en Europese moederbedrijven is tweetalige EN / NL-rapportage standaard, zodat hetzelfde rapport ook de DORA-, NIS2- of ISO 27001-auditor in Europa bedient. Senior scoping-calls vinden binnen één werkdag plaats.