Penetratietest in de staat New York
De staat New York buiten de vijf boroughs is een economie op zich: de deelstaatoverheid en haar instanties in Albany; GlobalFoundries in Malta en de halfgeleidercorridor tot aan de geplande fabriek van Micron bij Syracuse; M&T Bank, Kaleida Health en de medische campus van Buffalo Niagara; de University of Rochester en haar medisch centrum, Paychex en de beeldvormings- en defensie-elektronicabedrijven van Rochester; SUNY Upstate en de onderzoeksbasis van Syracuse; IBM, Regeneron, PepsiCo en Mastercard in Westchester en de Hudson Valley; en Northwell Health, Stony Brook en het Brookhaven National Laboratory op Long Island. HackersHub, een in 2015 in Nederland opgerichte offensieve beveiligingsfirma, bedient Nederlandse en Europese organisaties met een vestiging in de staat remote vanuit Amsterdam, met testers die afreizen en Amerikaanse delivery partners, gescoped op de SHIELD Act, de ziekenhuisregeling van de staat en de andere frameworks waarvoor zij rapporteren. Gekwalificeerde Amerikaanse bedrijven kunnen zich aanmelden voor een van de 20 kosteloze penetratietests die HackersHub aanbiedt in aanloop naar de Amerikaanse uitbreiding in het eerste kwartaal van 2027. Voor een penetratietest in New York City verwijzen we naar onze pagina over New York.
Het dreigingslandschap van de staat New York
Upstate New York en Long Island zijn getroffen door enkele van de meest leerzame incidenten in de Amerikaanse publieke sector en zorg. In april 2017 verloor het Erie County Medical Center in Buffalo, een traumacentrum van het hoogste niveau, zijn computersystemen aan ransomware en werkte het ongeveer zes weken op papier; het ziekenhuis weigerde te betalen en meldde later rond de 10 miljoen dollar te hebben uitgegeven aan de wederopbouw van zijn netwerk. In september 2022 compromitteerde een ransomwaregroep de overheid van Suffolk County op Long Island, lekte gestolen gegevens van de county en dwong maandenlang handmatig werken af; uit het forensisch onderzoek bleek later dat de aanvallers al sinds 2021 binnen waren, en de herstelkosten liepen op tot boven de 16 miljoen dollar. Beide zaken tonen dezelfde oorzaken die HackersHub bij opdrachten in de staat nog steeds aantreft: platte netwerken waarin één gecompromitteerd werkstation klinische of openbare-veiligheidssystemen bereikt, verouderde remote-accessdiensten die aan internet hangen, en logging die te summier is om te bepalen wanneer een inbraak begon. Ziekenhuizen en zorggroepen blijven de meest blootgestelde sector, en daarom was New York een van de eerste staten met een eigen cybersecurityregeling voor ziekenhuizen, 10 NYCRR 405.46, die algemene ziekenhuizen verplicht tot een risicogebaseerd cybersecurityprogramma, een chief information security officer en melding van incidenten aan het Department of Health binnen 72 uur. De halfgeleidercorridor van de Capital Region tot Central New York, gesteund door federale CHIPS Act-investeringen, trekt inmiddels de staatsgelieerde spionagecampagnes aan die elders al lang tegen chipontwerpers en fabrieken zijn gedocumenteerd. Regionale banken in Buffalo, Rochester en de Hudson Valley hebben te maken met business email compromise en betalingsfraude, en elke bank, verzekeraar en vergunninghoudende financiële instelling in de staat valt onder de cybersecurityregeling van NYDFS met haar jaarlijkse penetratietest onder 23 NYCRR 500.5. Over dit alles heen ligt de SHIELD Act: General Business Law 899-bb verplicht elk bedrijf met privégegevens van inwoners van New York tot redelijke administratieve, technische en fysieke waarborgen, waaronder het regelmatig testen van belangrijke maatregelen, en sinds december 2024 vereist General Business Law 899-aa dat getroffen inwoners binnen 30 dagen na ontdekking van een datalek worden geïnformeerd.
Pentest nodig in staat New York?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we in de staat New York bedienen
Zes sectoren zijn goed voor het grootste deel van het werk dat we tussen Buffalo en Montauk scopen.
Ziekenhuizen en zorggroepen
Zorggroepen en academische medische centra in Buffalo, Rochester, Syracuse, Albany en op Long Island, en de zorgtechnologieleveranciers die hen bedienen. Segmentatiereview van klinische netwerken en medische apparatuur, interne tests vanuit identity en analyse van ransomware-aanvalspaden, en bewijs voor 10 NYCRR 405.46 en de technische evaluatie onder de HIPAA Security Rule (45 CFR 164.308(a)(8)). Ziekenhuizen met een eigen verzekeraar of factureringsbedrijf voor artsen kunnen die entiteiten in dezelfde scope meenemen.
Regionale banken, credit unions en verzekeraars
Regionale banken met hoofdkantoor upstate, credit unions, en de verzekeraars en salaris- en HR-technologiebedrijven van Rochester en de Capital Region. Externe en interne penetratietests, assessments van Active Directory en privileged access, en phishing simulaties gericht op business email compromise. Bewijs voor 23 NYCRR 500.5, het FFIEC IT Examination Handbook en de GLBA Safeguards Rule.
Halfgeleiders en hoogwaardige maakindustrie
Chipfabrieken, toeleveranciers van apparatuur en hoogwaardige maakbedrijven van Malta en de Capital Region tot Central New York, plus de optiek-, beeldvormings- en defensie-elektronicasector van Rochester. Segmentatietests van engineering- en productienetwerken, OT-grensassessments onder passive-first regels, reviews van toegang tot ontwerpdata, en CMMC 2.0 Level 2-readiness tegen NIST SP 800-171 wanneer defensiewerk in scope is.
Overheidsinstanties, lokale overheden en publieke organisaties
Instanties van de staat in Albany, county's, steden, schooldistricten en publieke organisaties, en de technologieleveranciers die aan hen leveren. Externe en interne penetratietests, Active Directory- en identity-assessments en phishing simulaties, met bewijs afgestemd op het informatiebeveiligingsbeleid van het Office of Information Technology Services en op de meldplicht van 72 uur voor cyberincidenten bij lokale overheden.
Hoofdkantoren en farma (Westchester, Hudson Valley)
Hoofdkantoren, biofarmaceutisch onderzoek en productie, en de shared-servicecentra in de corridor van Westchester en de Hudson Valley. Red team operaties gericht op IP-verzameling en social engineering tegen bestuurders, cloud- en identity-assessments over wereldwijde tenants, en tests van laboratoriumnetwerken afgestemd op 21 CFR Part 11 en GxP-wijzigingsbeheer. Bewijs voor SEC Regulation S-K Item 106 en SOC 2.
Universiteiten en onderzoekslaboratoria
Het SUNY-systeem, particuliere onderzoeksuniversiteiten, en nationale en federaal gefinancierde laboratoria op Long Island en upstate. Segmentatietests van campus- en onderzoeksnetwerken, assessments van single sign-on en identity, en afstemming op NIST SP 800-171 voor controlled unclassified information onder DFARS 252.204-7012, met phishing simulaties die zijn afgestemd op een academische populatie.
Frameworks van de staat New York en de VS waarvoor we rapporteren
Buiten de stad zien we het vaakst drie drijfveren: de waarborgplicht uit de SHIELD Act, de ziekenhuisregeling van het Department of Health en federale sectorregels, niet zelden alle drie binnen één zorggroep. Elk rapport koppelt iedere bevinding aan de specifieke bepaling waarop zij betrekking heeft, zodat compliance-, juridische en auditteams die koppeling direct in hun eigen dossiers kunnen overnemen. Voor Europese moederbedrijven is tweetalige rapportage (EN / NL) mogelijk, met een aanvullende mapping op NIS2, DORA of de AVG. De financiële regelgeving van de staat behandelen we uitgebreid op onze pagina over New York City.
- New York SHIELD Act, General Business Law 899-bb: redelijke administratieve, technische en fysieke waarborgen, waaronder het regelmatig testen en monitoren van belangrijke maatregelen
- General Business Law 899-aa meldplicht datalekken, gewijzigd in december 2024: getroffen inwoners binnen 30 dagen na ontdekking, met melding aan de Attorney General, het Department of State en de State Police, en aan NYDFS voor entiteiten onder zijn toezicht
- 10 NYCRR 405.46 cybersecurityeisen voor ziekenhuizen: een risicogebaseerd programma, een aangewezen CISO en melding van incidenten aan het Department of Health binnen 72 uur
- NYDFS 23 NYCRR Part 500: jaarlijkse penetratietest onder 500.5 voor banken, verzekeraars en andere vergunninghoudende financiële instellingen
- New York State Technology Law sectie 208 meldplicht voor overheidsinstanties, en het informatiebeveiligingsbeleid NYS-P03-002 van het Office of Information Technology Services
- HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie
- FFIEC IT Examination Handbook en GLBA Safeguards Rule (16 CFR Part 314)
- CMMC 2.0 Level 2 (NIST SP 800-171) en DFARS 252.204-7012
- 21 CFR Part 11 en GxP-wijzigingsbeheer voor gereguleerd onderzoek en productie
- SEC-regels voor cybersecuritymeldingen (Form 8-K Item 1.05, Regulation S-K Item 106)
- SOC 2 Trust Services Criteria CC4.1, CC7.1 en CC7.4, en PCI DSS v4.0.1 Requirement 11.4
- NIST SP 800-115 technical security testing
Diensten in de hele staat New York
Elke dienst van HackersHub is beschikbaar voor organisaties upstate en op Long Island, van één webapplicatietest tot een red team operatie van meerdere weken.
Zie ook:Penetratietest in New YorkPenetratietest in New JerseyPenetratietest in Verenigde Staten
Waarom organisaties in de staat New York met HackersHub werken
HackersHub heeft geen kantoor in Albany, Buffalo of waar dan ook in de Verenigde Staten; de firma zit in Amsterdam en zegt dat ook gewoon. Klanten in de staat New York krijgen in plaats daarvan een gesplitst leveringsmodel. Alles wat via internet bereikbaar is, van patiëntportalen en internetbankieren tot cloudtenants en API's, wordt vanuit Nederland getest door de eigen offensieve-beveiligingsspecialisten van HackersHub, en door het tijdsverschil van zes uur loopt een groot deel van dat werk al voordat de werkdag aan de Amerikaanse oostkust begint. Werk dat fysieke aanwezigheid vraagt, zoals een interne Active Directory-assessment in een ziekenhuis, draadloze tests op een productiecampus of een fysieke inbraaktest bij een countygebouw, wordt uitgevoerd door testers die voor de afgesproken periode overvliegen, met gescreende Amerikaanse delivery partners bij grotere of langere scopes. Overleg met uw team plannen we in Eastern time. Michael van Mameren (OSCP) is engagement lead; elke tester heeft minimaal OSCP, en er zitten OSWE- en CREST-houders in het team. Bevindingen worden uitgewerkt volgens PTES, de OWASP WSTG en NIST SP 800-115, en elke opdracht omvat een verificatiehertest van problemen vanaf medium binnen 90 dagen. Voor een Nederlands of Europees moederbedrijf betekent dit dat de Amerikaanse vestiging met dezelfde partij en methodiek werkt als de rest van de groep. HackersHub heeft sinds 2015 meer dan 2.500 opdrachten uitgevoerd en start in het eerste kwartaal van 2027 de volledige Amerikaanse marktintroductie.
Veelgestelde vragen: staat New York
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.