Penetratietest in de Verenigde Staten

Het Amerikaanse dreigingslandschap in 2026

De Verenigde Staten hebben het grootste en zwaarst aangevallen enterprise-aanvalsoppervlak ter wereld, en de incidenten die de afgelopen drie jaar bepaalden volgen hetzelfde patroon: één zwakke plek in een breed gedeeld systeem slaat door naar een complete sector. In februari 2024 kwam een ransomware-affiliate binnen bij Change Healthcare, het declaratie- en betalingsknooppunt van UnitedHealth Group, via een remote-access-portaal dat volgens de topman van het concern tegenover het Congres niet met multifactorauthenticatie was beveiligd. Apotheken, ziekenhuizen en huisartspraktijken in het hele land konden wekenlang geen declaraties verwerken, en het datalek werd uiteindelijk bij het HHS Office for Civil Rights gemeld met ongeveer 192,7 miljoen getroffen personen, het grootste zorgdatalek ooit. Een jaar eerder leidde massaal misbruik van een zero-day in het bestandsoverdrachtproduct MOVEit Transfer tot het uitlekken van gegevens bij duizenden organisaties, van federale instanties en pensioenfondsen van staten tot banken, verzekeraars en universiteiten, waarvan vrijwel geen enkele zelf rechtstreeks was gehackt. Daarnaast lopen de vaste patronen die elk Amerikaans securityteam kent: social engineering tegen IT-servicedesks om wachtwoorden te resetten en multifactorauthenticatie te omzeilen, business email compromise tegen finance- en treasuryafdelingen, die het Internet Crime Complaint Center van de FBI structureel tot de kostbaarste gemelde vormen van cybercriminaliteit rekent, ransomware tegen ziekenhuizen, gemeenten en fabrikanten, en staatsgelieerde pre-positioning in energie-, water- en telecomnetwerken zoals beschreven in gezamenlijke CISA-advisories. Toezichthouders hebben geantwoord met meld- en testplichten in plaats van richtlijnen. Beursgenoteerde ondernemingen moeten materiële cyberincidenten binnen vier werkdagen na de materialiteitsvaststelling melden via Form 8-K en hun risicobeheer jaarlijks beschrijven; de FTC Safeguards Rule verwacht van niet-bancaire financiële instellingen een jaarlijkse penetratietest tenzij zij continu monitoren; NYDFS Part 500 eist een jaarlijkse penetratietest van elke onder toezicht staande entiteit; en het CMMC-programma schrijft externe assessments voor in defensiecontracten. Opdrachten in de VS leggen routinematig dezelfde oorzaken bloot als deze incidenten: remote-access- en bestandsoverdrachtdiensten die vanaf internet bereikbaar zijn met enkelvoudige authenticatie, servicedeskprocessen die op basis van één telefoontje wachtwoorden resetten, cloudidentiteiten en service principals met permanente beheerrechten, overgenomen dochterondernemingen die aan de directory van het moederbedrijf zijn gekoppeld lang voordat ze waren beveiligd, en API-endpoints die de autorisatiecontrole aan de client overlaten.

Het Amerikaanse regelgevingslandschap waarvoor we rapporteren

Er bestaat geen enkele Amerikaanse cybersecuritywet; verplichtingen stapelen zich op per sector, per staat en per klantcontract, en de meeste organisaties hebben met meerdere tegelijk te maken. Elke HackersHub-opdracht levert een penetration testing statement, een managementsamenvatting, CVSS-gescoorde bevindingen met bewijs en een aanvalsverhaal, en een geprioriteerd herstelplan, waarbij elke bevinding is gemapt op de onderstaande frameworks, zodat hetzelfde rapport bruikbaar is voor de auditor, de toezichthouder en de raad van bestuur. Voor Europese moederbedrijven is tweetalige EN / NL-rapportage beschikbaar, zodat het Amerikaanse rapport ook aansluit op NIS2-, DORA- of ISO 27001-verplichtingen aan deze kant van de oceaan. De pagina's per staat, zoals Californië, de staat New York, Texas en Florida, behandelen de privacy- en meldplichtwetgeving van die staten in detail.

• SEC-regels voor cybersecuritymeldingen (van kracht sinds december 2023): melding van materiële incidenten via Form 8-K Item 1.05 binnen vier werkdagen na de materialiteitsvaststelling, en jaarlijkse toelichting op risicobeheer en governance onder Regulation S-K Item 106
• HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie, en de door HHS in januari 2025 voorgestelde herziening van de Security Rule die een penetratietest minimaal elke 12 maanden expliciet verplicht zou maken
• GLBA en de FTC Safeguards Rule (16 CFR Part 314): jaarlijkse penetratietests en kwetsbaarheidsscans minimaal elk halfjaar tenzij continue monitoring is ingericht, en melding aan de FTC binnen 30 dagen bij een datalek met 500 of meer getroffen consumenten
• FFIEC IT Examination Handbook en SEC Regulation S-P (gewijzigd in 2024) voor banken, broker-dealers en beleggingsadviseurs
• NYDFS 23 NYCRR Part 500 (gewijzigd in november 2023): jaarlijkse penetratietest onder 500.5 voor elke onder toezicht staande entiteit, ongeacht waar het hoofdkantoor staat
• PCI DSS v4.0.1 Requirement 11.4 interne en externe penetratietests minimaal jaarlijks en na significante wijzigingen, inclusief segmentatietests
• SOC 2 Trust Services Criteria CC4.1, CC7.1 en CC7.4
• CMMC 2.0 Level 2 (NIST SP 800-171), via de DFARS-regel die sinds 10 november 2025 van kracht is opgenomen in DoD-contracten
• FedRAMP Rev. 5 CA-8 penetratietests en NIST SP 800-53 Rev. 5 voor clouddiensten aan federale instanties
• NERC CIP-005, CIP-007 en CIP-010 voor bulk electric system-entiteiten, en de TSA pipeline security directives
• FDA sectie 524B van de Federal Food, Drug, and Cosmetic Act voor cyber devices
• Privacywetten voor consumenten in inmiddels ongeveer twintig staten, waaronder Californië (CCPA/CPRA), Virginia, Colorado, Texas, Florida en New Jersey, en meldplichten voor datalekken in alle 50 staten
• NIST SP 800-115 technical security testing en het NIST Cybersecurity Framework 2.0

Hoe HackersHub in de Verenigde Staten levert

Een landelijke pagina verdient een eerlijk antwoord op de voor de hand liggende vraag: HackersHub voert zijn Amerikaanse werk uit vanuit Amsterdam en heeft vandaag geen Amerikaans kantoor. Het model dat daarvoor in de plaats komt, bestaat uit drie delen. Ten eerste wordt het grootste deel van een gemiddelde Amerikaanse scope, internetgerichte applicaties, API's, mobiele apps en tenants in AWS, Azure of Google Cloud, vanuit Nederland aangevallen door de eigen offensieve-beveiligingsspecialisten van de firma; met zes tot negen uur tijdsverschil tussen Amsterdam en de vier tijdzones van het vasteland lopen de tests terwijl Amerikaanse systemen rustig zijn, en liggen de bevindingen 's ochtends bij de klant. Ten tweede wordt werk waarvoor iemand in het gebouw moet zijn, interne Active Directory, draadloos, OT-installaties of fysieke inbraak, uitgevoerd door testers die via de rechtstreekse verbindingen vanaf Schiphol naar de oostkust, het Midwesten, Texas en de westkust vliegen. Ten derde breiden gescreende Amerikaanse delivery partners het team uit bij langere programma's of meerdere locaties tegelijk, onder de methodiek en review van HackersHub. De mensen blijven bij naam bekend: Michael van Mameren (OSCP) leidt de opdrachten, elke tester heeft minimaal OSCP, en OSWE- en CREST-specialisten maken deel uit van het team. PTES, de OWASP WSTG en MASTG en NIST SP 800-115 bepalen de methode; rapporten bevatten een managementsamenvatting, CVSS-gescoord bewijs, een aanvalsverhaal en geprioriteerde herstelmaatregelen, en een hertest van bevindingen vanaf medium binnen 90 dagen hoort bij elke opdracht. Voor Nederlandse en Europese groepen betekent dit één partij en één methodiek aan beide kanten van de Atlantische Oceaan. Opgericht in 2015, beoordeeld met 4,9/5 over 127 reviews en voorbij de 2.500 afgeronde opdrachten, gaat HackersHub in het eerste kwartaal van 2027 over op een volledige Amerikaanse marktintroductie, met een offerte op maat voor elke scope.