Hoe voeren jullie opdrachten in North Carolina uit vanuit Amsterdam?

Op afstand voor alles wat via internet bereikbaar is: externe infrastructuur, webapplicaties, API's, cloudtenants en phishing-simulaties. Voor interne netwerkscope gebruiken we een door de klant ingerichte jump host of sturen we een voorgeconfigureerde testappliance op, wat de meeste interne opdrachten dekt zonder reis. Fysieke intrusie, on-site assumed-breach en volledige red team operaties omvatten reis van testers naar de klantlocatie, ingepland in de statement of work. Alle klantgesprekken vinden plaats binnen de kantooruren van US Eastern.

Kan het rapport worden gemapt op CMMC 2.0 en NIST SP 800-171 voor een defensieleverancier?

Ja. Voor leveranciers die controlled unclassified information verwerken, worden bevindingen gemapt op de controlefamilies van NIST SP 800-171 die CMMC 2.0 Level 2 beoordeelt, met een appendix ingericht voor het System Security Plan en een remediation tracker die tevens als POA&M-input dient. Wanneer een leverancier ook aan SOC 2 of NC DIT-standaarden moet voldoen, bevat hetzelfde rapport die mappings.

Testen jullie operationele technologie voor nutsbedrijven onder NERC CIP?

Ja. OT-opdrachten worden gescoped rond de kwetsbaarheidsbeoordelingsvereisten van CIP-010 R3 en de electronic security perimeters van CIP-005, met passieve discovery op besturingsnetwerken, actieve tests beperkt tot afgesproken segmenten en onderhoudsvensters, en rapportage die bevindingen in BES cyber systems scheidt van bevindingen in kantoor-IT, zodat elk bij de juiste eigenaar terechtkomt.

Dekken jullie Charlotte en Fayetteville net zo goed als de Triangle?

Ja. Scope op afstand is locatieonafhankelijk, en on-site scope wordt per opdracht gepland waar de klant zich in de staat ook bevindt. Financiële opdrachten in Charlotte worden gerapporteerd tegen FFIEC en GLBA, defensieopdrachten bij Fayetteville tegen CMMC 2.0, en opdrachten in de Triangle tegen SOC 2, HIPAA of NC DIT, afhankelijk van wat de organisatie nodig heeft.

Penetratietest in North Carolina

North Carolina kent vier economieën die zelden een dreigingsmodel delen: het technologie-, farma- en universiteitscluster van de Research Triangle rond Raleigh, Durham en Chapel Hill; het bankencentrum van Charlotte rond de hoofdkantoren van Bank of America en Truist; de defensieleveranciers rond Fort Bragg, voorheen Fort Liberty, bij Fayetteville; en de gereguleerde nuts- en zorgsector van Duke Energy, UNC Health, Duke Health, WakeMed en Atrium Health. HackersHub is een offensieve beveiligingsfirma met hoofdkantoor in Amsterdam die opdrachten uitvoert voor Nederlandse en Europese ondernemingen met een vestiging in elk van die vier: handmatige penetratietests, red team operaties, phishing-simulaties en managed security, uitgevoerd door benoemde OSCP-, OSWE- en CREST-gecertificeerde testers, met rapportage tegen de federale en staatsframeworks waar elke sector daadwerkelijk aan moet voldoen.

Offerte aanvragen

Het dreigingslandschap van North Carolina

Het aanvalsoppervlak van de staat is breed en ongebruikelijk zwaar gereguleerd. In de Triangle richten staatsgelieerde actoren zich op klinische-trialdata, proceschemie en gesubsidieerd onderzoek bij Biogen, GSK, IQVIA en de universiteiten, terwijl de dichtheid aan open source en DevOps rond Red Hat, SAS en Cisco van CI/CD-pipelines, package registries en via OAuth gekoppelde developer-tooling het voorkeurstoegangspunt maakt. In Charlotte, het op één na grootste bankencentrum van de Verenigde Staten, domineren business email compromise tegen treasury en betalingsverkeer, credential stuffing en session hijacking tegen digitaal bankieren, en compromittering via fintech- en core-banking-integraties. Rond Fayetteville erft de defensieketen de aandacht van tegenstanders die op haar hoofdaannemers is gericht, waarbij controlled unclassified information (CUI) weglekt via vlakke netwerken, privéapparaten en onbeheerde cloudshares. Nutsbedrijven en zorgstelsels dragen respectievelijk het ransomware-op-OT- en ransomware-op-EPD-model, en beide vallen onder toezichthouders die kwetsbaarheidsbeoordelingen op een vaste cadans verwachten. Daarbovenop ligt de staatswetgeving: sinds 2021 verbiedt North Carolina staats- en lokale overheidsinstanties om losgeld te betalen en verplicht het hen incidenten te melden bij NC DIT, en N.C. Gen. Stat. 75-65 legt meldplichten voor datalekken op aan elk bedrijf dat gegevens van inwoners van North Carolina verwerkt. Opdrachten in de hele staat leggen routinematig te ruim geautoriseerde serviceaccounts over Active Directory en Entra ID heen bloot, verouderde VPN- en edge-appliances die nog in productie draaien, zwakke segmentatie tussen kantoor-IT en OT- of klinische netwerken, en langlevende secrets in interne repositories.

Pentest nodig in North Carolina?

Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.

Offerte aanvragen

Sectoren die we in heel North Carolina bedienen

Herhaalbare dreigingspatronen per sector, hetzelfde playbook aangepast aan de toezichthouder van elke regio.

Technologie en life sciences in de Research Triangle

Raleigh is het ankerpunt van de Triangle: Red Hat, SAS Institute in Cary, Cisco en IQVIA in Research Triangle Park, de productie van Biogen en GSK en de onderzoeksbasis van NC State, Duke en UNC. Webapplicatie- en API-pentests met broncode-inzage, cloud- en Kubernetes-configuratiereview, beoordeling van de softwareketen, IT/OT-segmentatie in gevalideerde GxP-omgevingen en red team operaties tegen IP-diefstalpatronen van staatsactoren.

Banken en financiële dienstverlening in Charlotte

Hoofdkantoren van Bank of America en Truist, regionale banken, credit unions, fintech en betaalverwerkers. Externe en interne pentests, tests van digitaal-bankieren-applicaties en API's, identity-system assessments, BEC-weerbaarheidsphishing en rapportage ingericht voor FFIEC IT-examinations, GLBA Safeguards, SOC 2 en PCI DSS v4.0.1.

Defensieleveranciers en overheidstoeleveranciers

De leveranciersbasis rond Fort Bragg bij Fayetteville en de bredere DoD-keten in de staat. CMMC 2.0 Level 2-gereedheid gebouwd op NIST SP 800-171, tests van CUI-grenzen en enclaves, assumed-breach- en insiderscenario's, en remediation trackers die direct in het System Security Plan en de POA&M passen.

Energie en nutsbedrijven

Duke Energy in Charlotte, elektriciteitscoöperaties, gemeentelijke nutsbedrijven en waterbedrijven. NERC CIP-010 kwetsbaarheidsbeoordelingen op de vereiste cadans, CIP-005 review van electronic security perimeters, IT/OT-segmentatie en beoordeling van toegang op afstand, en ICS-bewuste tests gescoped rond operationele vensters.

Zorgstelsels en academische geneeskunde

UNC Health, Duke Health, WakeMed, Atrium Health en de artsengroepen, verzekeraars en onderzoeksziekenhuizen die eraan verbonden zijn. HIPAA Security Rule-evaluaties onder 45 CFR 164.308(a)(8), beoordeling van EPD-toegangspaden en identiteiten, segmentatiereview van medische apparatuur en phishing-simulatie tegen facturatie- en salarisadministratie.

Staats- en lokale overheid

Uitvoerende diensten van North Carolina, het UNC System, counties en gemeenten, en de leveranciers die hen bedienen. Opdrachten gescoped tegen de statewide beveiligingsstandaarden van NC DIT en NIST SP 800-53, met een scope die wordt uitgebreid naar de back-up- en domain-controller-paden die er onder het losgeldverbod van 2021 het meest toe doen.

Federale en North Carolina compliance-frameworks waarvoor we rapporteren

Opdracht-deliverables, een penetration testing statement, executive summary, technisch rapport met proof-of-concept en remediation tracker, zijn opgemaakt om aan de bewijsvereisten van elk onderstaand framework te voldoen zonder aanvullende documentatie. Auditors en examinators accepteren HackersHub-rapporten als primair bewijs.

SOC 2 Trust Services Criteria CC4.1 en CC7.1
PCI DSS v4.0.1 Requirement 11.4, volledig gehandhaafd sinds 31 maart 2025
HIPAA Security Rule, 45 CFR 164.308(a)(8), inclusief de jaarlijkse pentest uit de HHS-herziening die in januari 2025 is voorgesteld
CMMC 2.0 Level 2 (NIST SP 800-171), sinds november 2025 in DoD-contracten
NIST SP 800-115 methodologie en NIST SP 800-53 Rev. 5 control CA-8
FFIEC IT Examination Handbook, Information Security booklet, en GLBA Safeguards Rule
NERC CIP-010 R3 kwetsbaarheidsbeoordelingen en CIP-005 electronic security perimeters
NC DIT Statewide Information Security Manual: staatsdiensten, UNC System en lokale overheid
N.C. Gen. Stat. 143-800 (2021): losgeldverbod en meldplicht incidenten voor publieke instanties
N.C. Gen. Stat. 75-65: Identity Theft Protection Act, melding van datalekken

Diensten geleverd in heel North Carolina

Volledige offensieve-beveiligingscatalogus, gescoped op uw sector en toezichthouder.

Penetratietest laten uitvoeren

Red Teaming

Phishing Simulatie

Vulnerability Scanning

Managed Security

Security Consulting

Threat Exposure Management

Zie ook:Penetratietest in Raleigh

Waarom organisaties in North Carolina kiezen voor HackersHub

HackersHub heeft zijn hoofdkantoor in Amsterdam en geen kantoor in North Carolina, en dat zeggen we liever meteen dan dat we iets anders suggereren. Het leveringsmodel is wat telt. Externe, webapplicatie-, API- en cloudtests draaien op afstand vanuit ons lab in Amsterdam. Interne netwerktests lopen via een door de klant ingerichte jump host of een opgestuurde testappliance, of on-site wanneer de scope dat vereist. Fysieke intrusie, assumed-breach en volledige red team operaties omvatten reis van testers, naar de Triangle, Charlotte of Fayetteville. Scoping-calls, statusupdates en rapportbesprekingen worden gepland binnen de kantooruren van US Eastern. Elke opdracht wordt geleid door een benoemde tester; engagement lead Michael van Mameren (OSCP) scopet elke opdracht in North Carolina persoonlijk, en het team is OSCP-, OSWE- en CREST-gecertificeerd. Rapporten mappen direct op de bewijscategorieën van SOC 2, HIPAA, CMMC 2.0, FFIEC, NERC CIP en NC DIT, en een senior scoping-call vindt binnen één werkdag plaats.

Veelgestelde vragen: North Carolina

Klaar om Uw Systemen te Beveiligen?

Vraag een offerte aan voor uw penetratietestbehoeften.