SC-200 vs AZ-500: verschillen tussen Microsoft securitycertificeringen

SC-200 en AZ-500 zijn Microsoft securitycertificeringen voor verschillende securityrollen: de keuze draait vaak om de vraag of het dagelijkse werk dichter bij incidentrespons in een SOC ligt, of bij het beveiligen van Azure-platformen en landing zones.

SC-200 en AZ-500 zijn beide Microsoft-securityexamens, maar ze valideren verschillende soorten werk. SC-200 hoort bij de rol Microsoft Security Operations Analyst en draait om detectie, triage, hunting en respons met Microsoft Sentinel en Microsoft Defender XDR. AZ-500 hoort bij Azure Security Engineer en richt zich op identiteiten, platformbeveiliging, netwerksegmentatie, data, workloads en Microsoft Defender for Cloud.

Bijgewerkt op 28 juli 2026. Deze vergelijking is gebaseerd op de actuele rolbeschrijvingen en examendomeinen zoals Microsoft die publiceert op Microsoft Learn, aangevuld met praktische context over hoe SOC-teams en cloudplatformteams deze vaardigheden gebruiken. Externe bronnen zoals Microsoft Learn en MITRE ATT&CK worden hier als referentie genoemd, maar niet als losse link toegevoegd omdat deze pagina alleen bestaande bronlinks behoudt.

Kort antwoord: wanneer kies je SC-200 of AZ-500?

SC-200 past het best bij professionals die dagelijks werken met alerts, incidenten, hunting queries, data connectors, playbooks en onderzoek naar aanvallen. De typische werkomgeving is een SOC of security operations-team waar Microsoft Sentinel, Defender XDR, Defender for Endpoint, Defender for Office 365 en identity-signalen samenkomen. Wie wil doorgroeien richting Incident Responder, SOC Analyst of Threat Hunter vindt in SC-200 meestal de meest directe aansluiting.

AZ-500 past beter bij professionals die Azure-omgevingen ontwerpen, hardenen en beheren. De dagelijkse werkzaamheden gaan dan over Microsoft Entra ID, privileged identity management, conditional access, network security groups, application security groups, Azure Firewall, Key Vault, managed identities, Azure Policy en Microsoft Defender for Cloud. Wie werkt als Cloud Security Engineer, Azure Engineer, platform consultant of security-focused cloud architect komt doorgaans dichter bij AZ-500 uit.

De hiringrealiteit volgt vaak dezelfde scheiding. Organisaties verdelen securitywerk steeds vaker tussen teams voor SOC operations, die detectie en incidentrespons uitvoeren, en cloud platform security, die architectuur, hardening en governance borgt. De certificaatkeuze is daardoor minder een kwestie van welk examen zwaarder is, en meer een kwestie van welk team en welke tooling het dagelijks werk bepalen.

Wat SC-200 in de praktijk test

SC-200 gaat over security operations binnen het Microsoft-ecosysteem. Een kandidaat moet begrijpen hoe signalen uit Microsoft Defender XDR en Microsoft Sentinel worden verzameld, verrijkt, onderzocht en omgezet in acties. Dat maakt het examen vooral relevant voor werk waarin een alert niet het eindpunt is, maar het begin van een onderzoek.

In de praktijk betekent dit dat SC-200-vaardigheden terugkomen in SOC-runbooks. Een analyst beoordeelt bijvoorbeeld een verdachte aanmelding, koppelt die aan endpointtelemetrie, zoekt met Kusto Query Language naar vergelijkbare patronen, verrijkt het incident met threat intelligence en bepaalt of een playbook een containment-actie mag starten. MITRE ATT&CK is daarbij nuttig als gemeenschappelijke taal om gedrag van aanvallers te classificeren, maar het examen draait niet om het uit het hoofd leren van het framework.

Een veelvoorkomende implementatiehindernis is dat kandidaten Sentinel onderschatten als data- en queryplatform. SC-200 vraagt niet alleen productherkenning, maar ook begrip van connectorbeheer, incidentregels, analytic rules, workbooks, automation en KQL. Wie alleen door portal-schermen klikt zonder queries te schrijven, mist vaak het deel waarin operationele analyse echt plaatsvindt.

Een praktische voorbereiding is een mini-lab met Microsoft Defender XDR en Microsoft Sentinel. Gebruik sampledata waar mogelijk, maak enkele eenvoudige KQL-queries, simuleer triage van alerts en werk een klein runbook uit voor een incident zoals verdachte mailboxactiviteit of impossible travel. Readynez behandelt deze SC-200-rolfit in de SC-200 Microsoft Security Operations Analyst-training, maar de kern blijft dat de kandidaat het werkproces achter de tooling moet begrijpen.

Wat AZ-500 in de praktijk test

AZ-500 richt zich op het beveiligen van Azure-resources en de identity-laag daaromheen. De certificering vraagt begrip van Microsoft Entra ID, role-based access control, privileged access, netwerkbeveiliging, platformbescherming, Key Vault, workload security, data security en aanbevelingen vanuit Microsoft Defender for Cloud. Verouderde studiematerialen spreken soms nog over Azure AD of Azure Security Center; in actuele Microsoft-terminologie gaat het om Microsoft Entra ID en Microsoft Defender for Cloud.

Het werk achter AZ-500 lijkt vaak op het hardenen van een Azure landing zone. Een engineer beperkt beheerrechten met least privilege, configureert conditional access, gebruikt privileged identity management voor tijdelijke verhoging van rechten, segmenteert workloads met NSG’s, ASG’s of Azure Firewall, beheert secrets via Key Vault en gebruikt policies om afwijkende configuraties zichtbaar te maken. Dat is een ander type securitywerk dan incidenttriage in een SIEM.

Een bekend struikelblok bij AZ-500 is dat kandidaten identity en netwerksegmentatie te oppervlakkig behandelen. In echte Azure-omgevingen ontstaan veel risico’s niet door één ontbrekende instelling, maar door combinaties van te brede rollen, zwakke beheerprocessen, open netwerkpaden, verkeerd gebruikte secrets en onvoldoende beleid op resources. AZ-500 beloont daarom begrip van ontwerpkeuzes en beheerconsequenties, niet alleen herkenning van losse services.

Een goed oefenscenario is een kleine Azure landing zone met een beheerresourcegroep, Key Vault, een workload-subnet, netwerkregels en Defender for Cloud-aanbevelingen. De kandidaat kan vervolgens testen welke identiteit welke actie mag uitvoeren, welke poorten nodig zijn, hoe secrets worden afgeschermd en welke Azure Policy-definities afwijkingen rapporteren. Dit sluit beter aan op AZ-500 dan een lab dat vooral op Sentinel-alerts en KQL-hunting is gebouwd.

Examenscope, formaat en renewal

Microsoft publiceert de officiële examendoelen voor SC-200 en AZ-500 op Microsoft Learn. Die pagina’s zijn de primaire bron voor domeinwegingen, gemeten vaardigheden, eventuele wijzigingen en de meest actuele examennaam. Kandidaten doen er verstandig aan die pagina’s kort voor het plannen van het examen opnieuw te controleren, omdat Microsoft examendomeinen kan actualiseren wanneer producten veranderen.

Beide examens gebruiken Microsoft’s reguliere certificeringservaring, waarin kennisvragen en scenario-gebaseerde opdrachten kunnen voorkomen. Exacte aantallen vragen, casevolgorde of specifieke examenvormen moeten niet als vaststaand studiemateriaal worden behandeld, omdat Microsoft de examenervaring kan aanpassen. Belangrijker is of de kandidaat beslissingen kan uitleggen: welke detectie is zinvol, welke identity-control past, welke policy voorkomt herhaling, en welke responsactie is proportioneel.

Formeel vereisen SC-200 en AZ-500 geen aparte voorafgaande certificering. Dat betekent niet dat ze zonder basiskennis licht zijn. SC-200 is aanzienlijk makkelijker te volgen met begrip van security operations, Microsoft Defender-producten en KQL. AZ-500 vraagt een stevige Azure-basis, vooral rond subscriptions, resourcegroepen, netwerken, identity, RBAC en governance.

Microsoft role-based certificeringen hebben doorgaans een renewalproces via Microsoft Learn. Een veelgemaakte leerfout is dat kandidaten na het behalen van het examen geen aandacht meer besteden aan renewal-assessments en productwijzigingen. Juist in security verandert de terminologie en tooling snel; studeren op materiaal waarin Azure Security Center nog centraal staat zonder de overgang naar Microsoft Defender for Cloud te begrijpen, vergroot de kans op verwarring.

Besliskader voor rollen, teams en leerpaden

De meest betrouwbare keuze begint bij de vraag welke changes en incidenten iemand daadwerkelijk behandelt. Wie alerts onderzoekt, incident queues beheert, KQL gebruikt, Sentinel-content bouwt en Defender XDR-signalen correleert, zit dichter bij SC-200. Wie access-modellen ontwerpt, policies afdwingt, netwerkpaden beperkt, secrets beschermt en Defender for Cloud-aanbevelingen opvolgt, zit dichter bij AZ-500.

1. Kies SC-200 als de primaire tooling Microsoft Sentinel, Defender XDR en KQL is.
2. Kies AZ-500 als de primaire tooling Azure Resource Manager, Bicep, Azure Policy, Microsoft Entra ID en Defender for Cloud is.
3. Kies eerst AZ-500 als de Azure-basis nog zwak is maar de rol platformgericht blijft.
4. Kies eerst SC-200 als de rol in een SOC begint en incidentrespons de hoofdtaak is.
5. Plan beide pas kort na elkaar als het werk zowel SOC-operaties als Azure-hardening omvat.

Carrières lopen natuurlijk niet altijd netjes langs één lijn. Een cloud engineer die veel incidentpostmortems uitvoert, kan na AZ-500 alsnog veel waarde halen uit SC-200. Een SOC-analist die steeds vaker misconfiguraties in Azure onderzoekt, kan met AZ-500 beter begrijpen hoe preventieve controls worden ontworpen. Voor bredere oriëntatie binnen Microsoft-trainingen kan het overzicht van Microsoft-cursussen helpen om security, Azure en operations in samenhang te bekijken.

IT-leads die certificeringen voor een team plannen, kunnen de keuze koppelen aan teamverantwoordelijkheid. Een SOC-team heeft meer aan SC-200 als het incidentkwaliteit, detectieregels en responseprocessen wil verbeteren. Een platformteam heeft meer aan AZ-500 als het landing zones, identity governance, policy compliance en secure-by-default configuraties wil versterken. Wanneer beide teams samenwerken, ontstaat vaak de meeste waarde door eerst het primaire gat te sluiten en daarna kruiskennis op te bouwen.

Veelgemaakte verwarringen

De eerste verwarring is dat AZ-500 soms wordt gezien als het Sentinel- of SIEM-examen. Dat klopt niet als hoofdbeeld. Sentinel en KQL horen primair bij SC-200, terwijl AZ-500 vooral Azure security engineering behandelt. AZ-500 kan raakvlakken hebben met monitoring en beveiligingsaanbevelingen, maar het zwaartepunt ligt bij het platform.

De tweede verwarring komt door oude productnamen. Azure AD heet Microsoft Entra ID, en Azure Security Center is opgegaan in Microsoft Defender for Cloud. Kandidaten die oudere blogs, video’s of oefenmateriaal gebruiken, moeten termen actief vertalen naar de huidige Microsoft-namen. Dat is geen cosmetisch detail: het helpt om te begrijpen welke portal, servicefamilie en verantwoordelijkheden Microsoft nu bedoelt.

De derde verwarring is de aanname dat één certificaat automatisch beter is voor salaris of promotie. In vacatureteksten wordt vaak onderscheid gemaakt tussen operations-rollen en platformrollen. Een organisatie die een threat hunter zoekt, zal SC-200 relevanter vinden; een organisatie die Azure landing zones wil beveiligen, zal eerder naar AZ-500 kijken. De waarde van het certificaat volgt dus de rolcontext.

Studieaanpak die beter werkt dan losse examentraining

Een effectieve voorbereiding begint met het bouwen van twee kleine bewijsstukken van vaardigheid. Voor SC-200 is dat een SOC-lab met Defender XDR, Sentinel, sampledata, KQL-queries en een eenvoudig incidentrunbook. Voor AZ-500 is dat een Azure-lab met Entra ID-controls, RBAC, netwerksegmentatie, Key Vault, policies en Defender for Cloud-aanbevelingen.

Daarna kan de kandidaat de officiële Microsoft Learn-examengids gebruiken als controlemiddel. Elk examendomein moet kunnen worden gekoppeld aan een handeling in het lab. Als een onderwerp alleen als definitie bekend is, maar niet als configuratie, onderzoeksvraag of ontwerpbeslissing, is het waarschijnlijk nog te oppervlakkig bestudeerd.

Wie meerdere Microsoft-securityonderwerpen in een beperkte periode wil plannen, moet ook letten op overlap en volgorde. Een platformgerichte professional kan AZ-500 eerst doen en daarna SC-200 gebruiken om incidentonderzoek beter te begrijpen. Een SOC-professional kan juist eerst SC-200 afronden en daarna AZ-500 gebruiken om de Azure-oorzaken achter terugkerende alerts te herkennen. Voor organisaties of professionals die meerdere trajecten bundelen, kan Unlimited Microsoft Training een manier zijn om die planning over meer dan één Microsoft-onderwerp te structureren.

De juiste keuze maken

SC-200 en AZ-500 zijn geen uitwisselbare certificeringen. SC-200 valideert het vermogen om securitysignalen te onderzoeken en respons te ondersteunen binnen Microsoft security operations. AZ-500 valideert het vermogen om Azure-omgevingen veilig te configureren, te beheren en te verbeteren. De juiste keuze volgt uit de tooling, het type incidenten en het soort wijzigingen dat iemand dagelijks behandelt.

De key takeaway is eenvoudig: kies SC-200 voor KQL, Sentinel, Defender XDR, triage en hunting; kies AZ-500 voor Microsoft Entra ID, Azure Policy, netwerkbeveiliging, Key Vault en Defender for Cloud. Readynez kan helpen bij een gestructureerde voorbereiding op SC-200 of een breder Microsoft-securitypad; wie de keuze voor een team of carrièrepad wil bespreken, kan ook contact opnemen.

FAQ

Wat zijn de belangrijkste verschillen tussen Microsoft SC-200 en AZ-500?

SC-200 richt zich op security operations: incidenten onderzoeken, bedreigingen detecteren, KQL gebruiken, Microsoft Sentinel beheren en signalen uit Microsoft Defender XDR interpreteren. AZ-500 richt zich op Azure security engineering: identiteiten beveiligen met Microsoft Entra ID, toegang beperken, netwerken segmenteren, Key Vault gebruiken, policies toepassen en aanbevelingen uit Microsoft Defender for Cloud opvolgen.

Heb je een voorafgaande certificering nodig voor SC-200 of AZ-500?

Microsoft vereist geen aparte voorafgaande certificering voor SC-200 of AZ-500. Praktische voorkennis is wel belangrijk. Voor SC-200 helpt ervaring met SOC-processen, Sentinel, Defender XDR en KQL. Voor AZ-500 helpt ervaring met Azure-resources, Microsoft Entra ID, RBAC, netwerken, Key Vault en governance.

Welk examen is moeilijker: SC-200 of AZ-500?

Dat hangt af van de achtergrond van de kandidaat. SOC-analisten vinden SC-200 vaak logischer omdat het aansluit op alerts, incidenten en hunting. Azure engineers kunnen AZ-500 toegankelijker vinden omdat het voortbouwt op platformkennis. De moeilijkheid ontstaat meestal wanneer iemand buiten de eigen dagelijkse tooling studeert.

Gaat AZ-500 over Microsoft Sentinel?

AZ-500 is niet het primaire Sentinel- of SIEM-examen. Microsoft Sentinel, KQL-hunting en incidentbeheer horen vooral bij SC-200. AZ-500 draait vooral om het beveiligen van Azure-identiteiten, netwerken, workloads, data en governance met services zoals Microsoft Entra ID, Azure Policy, Key Vault en Microsoft Defender for Cloud.

Moet je eerst SC-200 of AZ-500 doen?

Wie in een SOC werkt of die richting op wil, kiest meestal eerst SC-200. Wie Azure-platformen beheert of cloud security engineering wil versterken, kiest meestal eerst AZ-500. Professionals die beide nodig hebben, kunnen het best beginnen met het examen dat het dichtst bij hun huidige werk ligt en daarna de tweede certificering gebruiken om de aangrenzende discipline te begrijpen.