Toen ik in 2025 serieus met cybersecurity begon, wilde ik richting ethisch hacken. Ik kwam uit het juridische werkveld en had nog geen technische werkervaring, dus ik wilde eerst de basis goed begrijpen: hoe netwerken werken, hoe systemen beveiligd worden en hoe je die beveiliging in de praktijk onderzoekt.
In de loop van mijn studie verschoof mijn richting. Ik raakte steeds meer geïnteresseerd in het beheren en beveiligen van Microsoft-omgevingen, en inmiddels ligt mijn focus op Azure en Entra ID. De certificeringen die ik onderweg haalde, horen bij de verschillende fases van die ontwikkeling. Het zijn er behoorlijk wat, en ik heb ze niet allemaal om dezelfde reden gedaan.
2025 — Beginnen bij informatiebeveiliging
Mijn eerste certificering behaalde ik in april 2025: EXIN Information Security Foundation (ISFS), gebaseerd op onderwerpen uit ISO 27001 en ISO 27002. Ik wilde eerst begrijpen hoe organisaties naar informatiebeveiliging kijken. Niet alleen welke technische maatregelen je kunt nemen, maar ook waarom beleid, verantwoordelijkheden en risicobeoordeling nodig zijn. Die manier van kijken komt nu weer terug bij Azure governance.
In juli 2025 volgde CompTIA Security+. Daarmee ging ik dieper de techniek in. Cryptografie, netwerkbeveiliging, identity en incidenten hielpen me om verbanden te leggen tussen losse onderdelen. Ik wilde niet alleen de termen kennen, maar begrijpen hoe maatregelen samenwerken.
Diezelfde maand rondde ik Elements of AI van de University of Helsinki af. Dat is een cursus, geen beroepscertificering, maar ik was nieuwsgierig naar de werking van AI. Die basis bleek later nuttig toen ik me met AI-beveiliging ging bezighouden.
In augustus 2025 behaalde ik ISC2 Certified in Cybersecurity (CC). Een deel van de stof kende ik inmiddels, maar het was een mooie manier om mijn kennis van de securitybasis nog eens te toetsen. In dezelfde maand rondde ik het Jr Penetration Tester-leerpad van TryHackMe af. Dat levert een certificaat van voltooiing op, geen apart professioneel pentestexamen, maar de praktische labs hielpen me wel om het proces van verkennen, testen en onderzoeken onder de knie te krijgen. Een goede voorbereiding op de examens die volgden.
Oktober 2025 — Mijn eerste uitgebreide praktijkexamen
In oktober 2025 behaalde ik eJPT. Ik had veel geoefend, maar wilde weten of ik een technische opdracht ook zelfstandig kon uitvoeren. Bij zo’n examen krijg je niet steeds te horen wat de volgende stap is. Je verzamelt zelf informatie, legt verbanden en maakt keuzes. Dat maakte het waardevol. Ik merkte dat je bij pentesting vooral verder komt als je begrijpt wat je ziet. Zomaar commando’s draaien helpt weinig als je niet weet wat je verwacht terug te krijgen.
In diezelfde maand behaalde ik Microsoft AZ-900, mijn eerste kennismaking met Azure als certificering. Ik wilde begrijpen hoe cloudomgevingen zijn opgebouwd, welke diensten Microsoft aanbiedt en hoe de verantwoordelijkheid tussen Microsoft en de klant verdeeld is. Pentesting en Azure stonden op dat moment nog naast elkaar. Ik was me aan het oriënteren en had nog niet besloten om de cloud op te gaan.
Begin 2026 — Netwerken, Active Directory en pentesting
In januari 2026 behaalde ik CompTIA Network+. Ik vond het belangrijk om de netwerktechniek beter te begrijpen. IP-adressering, subnetting, routing, DNS en protocollen kom je overal tegen. Bij pentesting heb je die kennis nodig om te snappen hoe systemen bereikbaar zijn, en inmiddels helpt dezelfde basis me bij Azure networking, bijvoorbeeld bij Network Security Groups en route tables.
In februari volgde PJPT, omdat ik me verder wilde verdiepen in Active Directory en de beveiliging van Windows-domeinen. Accounts, groepen, rechten en de manier waarop een aanvaller zich door een netwerk verplaatst, maakten me duidelijk hoe centraal identity en toegangsbeheer staan. Dat besef werd later een van de redenen waarom de cloud-securitykant me ging trekken.
In maart 2026 behaalde ik PNPT. Dit ging verder dan technische handelingen uitvoeren. Ik moest een onderzoek opbouwen, bevindingen vastleggen, rapporteren en kunnen uitleggen hoe ik tot mijn conclusies kwam. Dat gestructureerde werken sprak me aan, en het deed me denken aan mijn juridische werk: zonder goede onderbouwing heb je weinig aan een conclusie.
Later die maand behaalde ik PAPA, een praktijkcertificering over de beveiliging van AI-toepassingen. Ik wilde begrijpen welke kwetsbaarheden daarbij ontstaan, zoals prompt injection, het onbedoeld prijsgeven van informatie en problemen met toegangscontrole. Inmiddels zie ik de link met Microsoft 365 Copilot en de vraag welke gegevens een AI-toepassing mag gebruiken.
Deze trajecten hebben me veel geleerd over de aanvallende kant van beveiliging. Tegelijk merkte ik dat mijn interesse langzaam opschoof. Ik wilde niet alleen aantonen dat iets mis kon gaan, maar vooral begrijpen hoe je dat aan de beheerkant voorkomt.
2026 — Verder richting Microsoft Azure en security
In mei 2026 behaalde ik SC-900. Daarmee verdiepte ik me in de security- en identitydiensten van Microsoft, zoals Entra ID, Zero Trust en de Defender-oplossingen. Het hielp me om beter te zien welke rol identity speelt in de beveiliging van een organisatie.
In juni volgde AB-900, over het beheer van Microsoft 365 Copilot. Vooral de relatie tussen AI en toegangsrechten vond ik interessant. Zodra een toepassing informatie kan gebruiken waar medewerkers al bij kunnen, wordt het extra belangrijk dat die rechten goed staan. Ook informatiebescherming en governance spelen daarin een grote rol.
Mijn volgende stap was AZ-104, dat ik in september 2026 behaalde. Ik wilde verder komen dan algemene kennis van Azure, dus ging ik dieper in op het beheren van resources en het onderzoeken van problemen.
Tijdens de voorbereiding stak ik veel tijd in onder meer:
- Azure RBAC, rollen en machtigingen;
- Network Security Groups, routing en private connectivity;
- storage-beveiliging, SAS en toegangscontrole;
- virtual machines, monitoring en back-up;
- Azure Policy en governance.
Vooral de scenario’s vond ik leerzaam. Een virtual machine die niet bereikbaar is, hoeft helemaal geen probleem met de VM zelf te hebben. Misschien blokkeert een NSG het verkeer, staat er een verkeerde route of klopt de DNS-resolutie niet. Zo’n probleem stap voor stap uit elkaar halen, dat is precies het soort werk dat me aanspreekt.
Waarom ik voor cloud- en identity-security koos
Juist door me in aanvallen te verdiepen, ging ik me steeds meer afvragen hoe je een omgeving aan de voorkant goed beveiligt. Bij Microsoft komt daarin veel samen: beheer, identity, toegangsrechten, monitoring en beveiliging.
Ik wil bijvoorbeeld goed begrijpen hoe Conditional Access, Privileged Identity Management, Azure RBAC en managed identities werken. Niet alleen wat je ermee instelt, maar ook wat er gebeurt als je te ruime rechten geeft of een belangrijke controle vergeet. Mijn pentestkennis blijft daarbij waardevol, want ik kijk naar zo’n omgeving met de blik van iemand die weet hoe ze misbruikt kan worden.
Daarom ligt mijn verdere studie nu bij Microsoft cloud- en identity-security.
Wat hierna komt
Na AZ-104 wil ik me verder verdiepen in de beveiliging van Microsoft-omgevingen. SC-500 staat op mijn planning. Daarnaast wil ik meer oefenen met Entra ID, Conditional Access, Defender en monitoring, en mijn Azure Cloud Security Lab opbouwen, waarin ik niet alleen laat zien wat werkt, maar ook de problemen die ik tegenkom en hoe ik ze oplos.
De certificeringen hebben me geholpen om gericht te leren, en daar ben ik trots op. Tegelijk weet ik dat een examen halen iets anders is dan jarenlang een productieomgeving beheren. Dat praktische deel wil ik nu verder opbouwen. Op MB Cyberworks blijf ik vastleggen wat ik leer, wat ik uitzoek en welke keuzes ik onderweg maak.