AZ-500 vs SC-200/SC-300: zo kiest u de juiste Azure security-certificering

Een Azure security-certificering bewijst welk type beveiligingswerk u kunt uitvoeren: met AZ-500 ligt de nadruk op Azure-beveiliging ontwerpen en implementeren, terwijl SC-200 security operations aantoont en SC-300 identiteitsbeheer verdiept.

AZ-500, Microsoft Azure Security Technologies, hoort bij de rol Azure Security Engineer Associate. Het examen richt zich op het beveiligen van Azure-omgevingen: identiteit en toegang, platformbeveiliging, netwerkbeveiliging, gegevensbescherming, monitoring en het onderhouden van een security posture. Voor Azure administrators, cloud engineers, platform engineers en security engineers die landing zones, workloads en governance in Azure beveiligen, is AZ-500 meestal de meest directe route.

Laatst bijgewerkt: juli 2026. Microsoft past examendoelen, productnamen en registratiegegevens regelmatig aan. Controleer daarom vóór het boeken altijd de officiële Microsoft Learn-examenpagina voor AZ-500 en de bijbehorende skills outline.

Wat AZ-500 meet in de praktijk

AZ-500 toetst niet alleen of een kandidaat Azure-beveiligingsfuncties herkent. Het examen vraagt vooral of iemand de juiste beveiligingsmaatregel kan kiezen bij een gegeven risico, bestaande architectuur of operationele beperking. Begrippen als minimale privileges, kosteneffectieve oplossing, minste wijzigingen en voldoen aan beleid zijn vaak belangrijker dan het onthouden van een productnaam.

De kern ligt bij Microsoft Entra ID, role-based access control, privileged identity management, netwerkisolatie, private access, Microsoft Defender for Cloud, Azure Policy, versleuteling, Key Vault en logging. In een werkomgeving vertaalt dit zich naar taken zoals het beveiligen van een Azure landing zone, het afdwingen van policy as code, het beperken van public exposure, het beheren van secrets en certificaten, en het gebruiken van Defender for Cloud-aanbevelingen om risico’s te prioriteren.

Een veelgemaakte fout is dat kandidaten identity en access vooral theoretisch bestuderen. Conditional Access, PIM, RBAC-scopes en managed identities worden pas duidelijk wanneer ze in een tenant worden geconfigureerd en getest. Hetzelfde geldt voor Key Vault: soft-delete, purge protection, access policies versus RBAC en secret rotation zijn onderwerpen die in examenvragen vaak via scenario’s terugkomen.

Examengegevens: wat u moet controleren voordat u boekt

De officiële Microsoft-examenpagina blijft de bron voor actuele gegevens over registratie, beschikbare talen, prijs per regio, toegestane hulpmiddelen, examenvorm en eventuele wijzigingen in de skills outline. Microsoft gebruikt doorgaans een combinatie van vraagtypen zoals meerkeuzevragen, casestudy’s en interactieve scenario’s zoals slepen en neerzetten. Als prestatiegerichte onderdelen of labs beschikbaar zijn, kan Microsoft dit aanpassen; ga daarom niet uit van een vast format zonder de actuele examenpagina te controleren.

De slaagscore voor Microsoft role-based examens wordt doorgaans uitgedrukt als 700 op een schaal van 1000. Dat betekent niet dat elke vraag hetzelfde gewicht heeft of dat een exact percentage correct beantwoorde vragen automatisch voldoende is. De score moet worden gelezen als een geschaalde beoordeling van de gemeten vaardigheden.

Ook examenduur en kosten kunnen per markt, taal en afnamevorm verschillen. Kandidaten registreren zich via de officiële Microsoft-certificeringsomgeving, kiezen een online of testcentrumoptie waar beschikbaar, bevestigen identiteit en beschikbaarheid, en volgen de instructies van de exam provider. Bij een onvoldoende resultaat gelden Microsofts actuele retake-regels; controleer die vóór een nieuwe boeking, omdat wachttijden en voorwaarden kunnen wijzigen.

AZ-500, SC-200 of SC-300 kiezen

AZ-500 is de juiste keuze wanneer het werk dicht bij Azure-infrastructuur, workloadbeveiliging en platformconfiguratie ligt. Denk aan een engineer die network security groups, application security groups, private endpoints, Key Vault, Defender for Cloud en Azure Policy combineert om een productieomgeving aantoonbaar veiliger te maken. De kandidaat moet kunnen uitleggen waarom een controle op een bepaalde scope wordt toegepast en welke impact dat heeft op beheerbaarheid.

SC-200 past beter wanneer de dagelijkse praktijk draait om detectie, onderzoek en respons. Een security operations analyst werkt met signalen, incidenten, hunting queries, automatisering en prioritering van alerts. Wie vooral Microsoft Sentinel, Microsoft Defender XDR en incidentafhandeling wil aantonen, krijgt met SC-200 een gerichtere route dan met AZ-500.

SC-300 is logischer wanneer identity het hoofdonderwerp is. Een identity and access administrator houdt zich bezig met Microsoft Entra ID, Conditional Access, privileged access, identity governance, externe identiteiten en toegangscycli. AZ-500 behandelt identity ook, maar vanuit het bredere perspectief van Azure workload security; SC-300 gaat dieper op IAM-processen in.

Voor kandidaten zonder stevige Azure-basis is een administratorroute vaak een nuttige opstap. Een opleiding zoals Microsoft-trainingen voor Azure en security kan helpen om platformbegrippen eerst te structureren voordat AZ-500-vraagstukken over beveiligingskeuzes worden aangepakt. Wie al meerdere Microsoft-securityexamens plant, kan later bepalen of een breder traject zoals Unlimited Microsoft Training praktisch past bij de planning.

Praktische voorbereiding die verder gaat dan lezen

Een effectieve voorbereiding combineert Microsoft Learn-modules met een eigen sandbox-tenant. Alleen documentatie lezen levert zelden voldoende inzicht op in scopes, afhankelijkheden en foutmeldingen. Kandidaten leren meer door resources bewust verkeerd te configureren, de waarschuwingen te bekijken en daarna de configuratie te herstellen volgens least privilege en beleid.

Een realistisch lab begint met Microsoft Entra ID en RBAC. Maak testgebruikers en groepen, wijs rollen toe op verschillende scopes, activeer PIM waar beschikbaar en onderzoek wat er gebeurt wanneer rechten te breed of te smal zijn. Daarna kan Azure Policy worden toegevoegd om tagging, regio’s, public access of beveiligingsinstellingen af te dwingen. Defender for Cloud maakt vervolgens zichtbaar welke aanbevelingen ontstaan en welke verbeteringen prioriteit hebben.

Netwerkbeveiliging verdient aparte aandacht. Kandidaten verwarren vaak private endpoints, service endpoints, NSG-regels en firewallconfiguraties. Het examen verwacht meestal geen diep netwerkontwerp, maar wel het vermogen om public exposure te verminderen zonder applicaties onnodig te breken. Dat is precies de reden waarom oefenen met een eenvoudige webapp, storage account en private endpoint waardevol is.

Key Vault is een ander onderwerp waar praktijkervaring verschil maakt. Oefen met secrets, keys, managed identities, toegangsmodellen, soft-delete en purge protection. In scenario’s kan één detail bepalen of een antwoord operationeel veilig is of juist herstel onmogelijk maakt.

Een begeleid traject kan nuttig zijn wanneer de voorbereiding weinig ruimte laat voor trial-and-error of wanneer een team dezelfde terminologie en aanpak wil gebruiken. Readynez biedt een AZ-500 Microsoft Azure Security Engineer Course waarin de examenonderwerpen langs labs en scenario’s worden behandeld, maar de basis blijft hetzelfde: kandidaten moeten de Azure-controles zelf kunnen toepassen en uitleggen.

Voorbeeldvragen met uitleg

Vraag 1. Een organisatie wil beheerders tijdelijk verhoogde rechten geven voor productie, met goedkeuring en logging. Welke richting past het best? De juiste denkrichting is privileged identity management in Microsoft Entra ID, omdat tijdelijke activatie, goedkeuring en auditability centraal staan. Een permanente Owner-toewijzing is meestal een distractor omdat die niet voldoet aan minimale privileges.

Vraag 2. Een storage account mag niet publiek bereikbaar zijn, maar een applicatie in een virtueel netwerk moet toegang houden. De meest passende oplossing is doorgaans private access via een private endpoint, gecombineerd met juiste DNS-configuratie. Een simpele firewallregel kan nuttig zijn, maar lost het publieke endpointvraagstuk niet altijd volledig op.

Vraag 3. Een team wil afdwingen dat nieuwe resources alleen in goedgekeurde regio’s worden aangemaakt. Azure Policy is hier de logische keuze, omdat governance vooraf en op schaal wordt afgedwongen. Een handmatige review achteraf is operationeel zwakker en minder consistent.

Vraag 4. Een applicatie moet veilig een secret uit Key Vault lezen zonder dat een wachtwoord in configuratiebestanden staat. Een managed identity met minimale Key Vault-rechten past beter dan een opgeslagen client secret. De examenvraag test hier niet alleen Key Vault-kennis, maar ook het principe dat geheimen niet onnodig moeten worden verspreid.

Vraag 5. Defender for Cloud toont aanbevelingen voor kwetsbare configuraties. Wat is de beste eerste stap? De kandidaat moet de aanbevelingen koppelen aan risicoreductie, compliance-impact en haalbare herstelactie. Het blind uitschakelen van waarschuwingen of alles tegelijk wijzigen zonder change control is zelden de juiste keuze.

Valkuilen die kandidaten vaak onderschatten

Veel kandidaten besteden te veel tijd aan productnamen en te weinig aan beslislogica. AZ-500-vragen bevatten vaak meerdere technisch mogelijke antwoorden. Het juiste antwoord is dan de optie die het risico verlaagt met de minste privileges, de minste operationele verstoring of de beste aansluiting op beleid.

Een tweede valkuil is verouderde terminologie. Azure Security Center wordt in actuele context meestal besproken als onderdeel van Microsoft Defender for Cloud. Azure Active Directory heet Microsoft Entra ID. Kandidaten hoeven niet elk historisch label te vermijden, maar moeten actuele namen herkennen en begrijpen hoe documentatie en portalbenamingen zich tot elkaar verhouden.

Ten derde wordt hands-on oefenen met Azure Policy en Defender for Cloud vaak uitgesteld. Juist deze onderwerpen verbinden governance, compliance, aanbevelingen en herstelacties. Wie alleen definities leert, mist het inzicht waarom een policy op management group-niveau anders uitwerkt dan op resource group-niveau.

Ten slotte onderschatten kandidaten de arbeidsmarktwaarde van uitleg. Werkgevers kijken bij cloud security-rollen vaak naar het vermogen om risico, kosten en beheerbaarheid tegen elkaar af te wegen. Labnotities, architectuurbeslissingen en korte portfolio-uitleg kunnen daarom meer laten zien dan een lijst met gevolgde modules.

Officiële bronnen om actueel te blijven

Gebruik voor de definitieve examengegevens altijd Microsoft Learn. Relevante bronnen zijn de officiële Microsoft Learn-pagina voor Exam AZ-500: Microsoft Azure Security Technologies, de Microsoft Learn-leerpaden voor Azure security, en de Microsoft-documentatie voor Microsoft Defender for Cloud, Azure Policy, Azure Key Vault, Microsoft Entra ID, Privileged Identity Management en Azure private endpoints.

Het is verstandig om tijdens de voorbereiding de skills outline opnieuw te controleren, vooral vlak voor het examen. Azure-services veranderen regelmatig, en kleine wijzigingen in naamgeving, portalnavigatie of aanbevolen configuraties kunnen verwarring veroorzaken wanneer iemand alleen met oudere screenshots of samenvattingen werkt.

De juiste volgende stap bepalen

AZ-500 is vooral waardevol wanneer u Azure-omgevingen daadwerkelijk moet beveiligen en de keuzes achter identity, netwerk, governance, data protection en threat posture wilt kunnen onderbouwen. SC-200 is sterker voor SOC- en incidentresponswerk, terwijl SC-300 de logische verdieping is voor identity governance en access management.

De meest praktische voorbereiding bestaat uit een actuele Microsoft Learn-check, een sandbox-tenant, gerichte labs en scenarioanalyse. Wie ondersteuning wil bij het plannen van een AZ-500-traject of een bredere Microsoft-securityroute, kan contact opnemen met Readynez om de opties te bespreken.

FAQ

Wat is het Microsoft Azure-examen AZ-500?

AZ-500 is het Microsoft-examen voor Azure Security Engineer Associate. Het toetst vaardigheden rond het beveiligen van identiteit, toegang, platformresources, netwerken, gegevens, applicaties en security operations in Azure.

Voor wie is AZ-500 geschikt?

AZ-500 past bij Azure administrators, cloud engineers, security engineers, DevOps- en platform engineers die beveiligingscontroles in Azure implementeren of beheren. Praktische ervaring met Azure-resources, Microsoft Entra ID, netwerken en governance maakt de voorbereiding aanzienlijk sterker.

Wat is het verschil tussen AZ-500 en SC-200?

AZ-500 richt zich op het ontwerpen, implementeren en beheren van beveiliging in Azure-omgevingen. SC-200 is meer gericht op security operations, detectie, onderzoek en incidentrespons met Microsoft-securitytools zoals Microsoft Sentinel en Microsoft Defender XDR.

Wat is het verschil tussen AZ-500 en SC-300?

AZ-500 behandelt identity als onderdeel van bredere Azure-beveiliging. SC-300 gaat dieper in op identity and access administration, zoals Conditional Access, identity governance, externe identiteiten en lifecyclebeheer in Microsoft Entra ID.

Hoe bereidt u zich goed voor op AZ-500?

Combineer de officiële Microsoft Learn-leerpaden met labs in een eigen Azure-omgeving. Oefen vooral met RBAC, PIM, Conditional Access, Azure Policy, Microsoft Defender for Cloud, Key Vault, private endpoints, logging en scenario-oefenvragen waarin minimale privileges en beleidskeuzes centraal staan.

Welke vraagtypen kan AZ-500 bevatten?

Microsoft-examens kunnen verschillende interactieve vraagtypen bevatten, waaronder meerkeuzevragen, casestudy’s en slepen-en-neerzetten-scenario’s. Controleer de officiële examenpagina vóór registratie, omdat Microsoft de exacte vorm en instructies kan wijzigen.