Penetratietest in Tampa, FL

Het dreigingslandschap van Tampa Bay en Florida

Het aanvalsoppervlak van Tampa wordt bepaald door de twee commando's op MacDill. Elk bedrijf dat hen ondersteunt, van integrators en logistieke dienstverleners tot softwarehuizen en gespecialiseerde fabrikanten, beheert federale contractinformatie en vaak controlled unclassified information, en die keten is al meer dan tien jaar een gedocumenteerd doelwit van staatsgelieerde spionage. Het Amerikaanse ministerie van Defensie heeft dat risico vertaald in een contractuele drempel: de CMMC-programmaregel trad in december 2024 in werking, en sinds november 2025 worden CMMC-eisen via de DFARS-clausule gefaseerd in nieuwe contracten opgenomen. Kleinere leveranciers die nooit een formeel assessment nodig hadden, moeten nu aantonen dat de maatregelen uit NIST SP 800-171 in de praktijk werken. De zorg kent het meest zichtbare incident in de regio. In mei 2023 bevonden indringers zich ongeveer drie weken in het netwerk van een van de grootste academische ziekenhuizen in de regio en kopieerden zij bestanden met patiëntgegevens voordat zij werden ontdekt. Het ziekenhuis meldde dat het elektronisch patiëntendossier niet was benaderd, maar meer dan een miljoen patiënten ontvingen een melding en het incident leidde tot gebundelde class actions. De financiële sector in Tampa Bay draait vooral om operaties en niet om handelsvloeren: betalingsverwerking, klantenservice, fraudebestrijding en technologiecentra die de identiteits-, dossier- en betaalsystemen van nationale instellingen beheren. Hun aanvalsoppervlak bestaat uit een groot personeelsbestand, uitgebreide toegang van leveranciers en de helpdesk- en identiteitsprocessen die duizenden medewerkers productief houden. Florida reguleert dit via de Florida Information Protection Act, sectie 501.171 van de Florida Statutes, die redelijke maatregelen ter bescherming van persoonsgegevens vereist en melding aan getroffen personen binnen 30 dagen, en via de Florida Digital Bill of Rights voor de grootste verwerkingsverantwoordelijken. Terugkerende bevindingen in Tampa Bay zijn CUI die buiten de beoordeelde enclave is opgeslagen, remote toegang van aannemers die multifactorauthenticatie omzeilt, klinische en onderzoeksnetwerken die vanuit het bedrijfsdomein bereikbaar zijn, en serviceaccounts met domeinbrede rechten in operationele centra die door overnames zijn gegroeid.

Compliance-frameworks waarvoor we rapporteren

Rapporten uit Tampa worden even vaak gelezen door assessors, inspecteurs en hoofdaannemers als door de eigen engineers van de klant. Elk rapport opent met een ondertekende testverklaring en een samenvatting die een contractmanager of compliance-verantwoordelijke kan citeren, gevolgd door reproduceerbare bevindingen en een remediation tracker. Bereidt een defensieleverancier zich voor op een CMMC-assessment, dan verwijzen de bevindingen naar de eisnummers uit NIST SP 800-171 die de assessor zal gebruiken.

• Florida Information Protection Act (sectie 501.171, Florida Statutes): redelijke maatregelen ter bescherming van persoonsgegevens, melding aan getroffen personen binnen 30 dagen, melding aan de Attorney General wanneer 500 of meer inwoners van Florida zijn getroffen, en melding door verwerkers aan de verantwoordelijke binnen 10 dagen
• Florida Digital Bill of Rights (van kracht sinds 1 juli 2024) voor de grootste verwerkingsverantwoordelijken
• Cybersecurity-eisen van Florida voor staatsinstanties en lokale overheden onder hoofdstuk 282 van de Florida Statutes
• CMMC 2.0 Level 2 (32 CFR Part 170) en NIST SP 800-171 met DFARS 252.204-7012 voor controlled unclassified information
• HIPAA Security Rule, 45 CFR 164.308(a)(8): periodieke evaluatie van maatregelen voor ziekenhuizen, kankercentra en zorgverzekeraars
• Beveiligingsverplichtingen uit de Gramm-Leach-Bliley Act en het FFIEC IT Examination Handbook voor banken en brokers met activiteiten in Tampa Bay
• Regulation S-P zoals in 2024 door de SEC gewijzigd, inclusief incidentrespons- en klantmeldplichten voor broker-dealers en adviseurs
• NYDFS Part 500 (23 NYCRR 500.5): jaarlijkse penetratietest voor brokers, verzekeraars en banken met een vergunning in New York
• PCI DSS v4.0.1 Requirement 11.4 voor betaalverwerkers, kaartprogramma's en merchantomgevingen in scope
• SOC 2 Type II-rapportage, waarbij penetratietests de CC7-criteria voor systeembeheer onderbouwen
• NIST SP 800-82 Rev. 3 en IEC 62443 voor OT- en industriële omgevingen
• NIST SP 800-115 als vastgelegde testmethode

Waarom organisaties in Tampa kiezen voor HackersHub

HackersHub heeft geen kantoor in Tampa en ook geen ander kantoor in de Verenigde Staten. De firma is in 2015 in Nederland opgericht, heeft meer dan 2.500 beveiligingsopdrachten achter de rug en werkt al vanuit Amsterdam voor Amerikaanse klanten, samen met geselecteerde Amerikaanse delivery partners; een volwaardige toetreding tot de Amerikaanse markt staat gepland voor het eerste kwartaal van 2027. Voor Tampa Bay levert dat een heldere taakverdeling op. Werk aan alles wat aan internet hangt (externe perimeters, web- en mobiele applicaties, API's en cloud) gebeurt remote vanuit Nederland. Interne netwerken, Active Directory, wifi, productievloeren en fysieke maatregelen testen reizende testers op locatie in Tampa, St. Petersburg of Clearwater. Beperkt een defensiecontract de toegang tot US persons, dan gaat het praktische werk naar een geselecteerde Amerikaanse partner, terwijl onze lead eigenaar blijft van de methode en het rapport. Michael van Mameren (OSCP) leidt de opdracht; het hele testteam is OSCP-gecertificeerd, aangevuld met OSWE- en CREST-houders. Rapportage is gemapt op CMMC, HIPAA, GLBA, PCI DSS en SOC 2, bevindingen met ernst medium en hoger worden binnen 90 dagen als onderdeel van de opdracht hertest, en scoping-calls op Eastern Time worden binnen één werkdag ingepland. Nederlandse moederbedrijven ontvangen het rapport desgewenst in het Nederlands en het Engels, zodat het ook in een Europese audit bruikbaar is.