Azure-architect Barbara Forbes beweegt zich dagelijks tussen developers die vooruit willen en securityteams die risico's moeten beperken. Tijdens de Tweakers Developers Summit laat ze zien hoe ontwikkelaars de toegang tot hun cloudomgeving beter kunnen beveiligen, zonder zichzelf vast te zetten in regels en procedures. De centrale vraag: als iemand dertig minuten over jouw credentials beschikt, hoeveel schade kan diegene dan aanrichten?
Van HTML naar Azure
Forbes is Azure Architect en consultant bij Zure, een van oorsprong Fins consultancybedrijf in vijf landen. De Nederlandse tak telt zeven medewerkers. Ze is ook Microsoft Azure MVP, Microsoft Certified Trainer en GitHub Star. Haar werk omvat het Microsoft Cloud Adoption Framework, Infrastructure as Code, PowerShell, GitHub en generatieve AI.
"Ik voel me nog steeds alsof ik mijn hobby aan het uitvoeren ben en er zijn mensen die mij daarvoor betalen."
Ze studeerde iets anders, maar bouwde rond haar veertiende al websites. Eerst sleepte ze elementen bij elkaar in een ontwerpprogramma, later schreef ze zelf HTML. Websites bouwen en automatiseren bleven jarenlang hobby's, totdat ze besloot er haar beroep van te maken. "Ik voel me nog steeds alsof ik mijn hobby aan het uitvoeren ben en er zijn mensen die mij daarvoor betalen."
Ook thuis blijft ze experimenteren. Tijdens het interview staat achter haar een 3D-printer, een cadeau van haar vriend. De prijs en benodigde ruimte hielden haar eerder tegen. Lachend: "Daarna heeft hij me een week niet meer gezien." Inmiddels ontstaat er een nieuw ruimteprobleem: "Ook alle geprinte voorwerpen moeten ergens blijven."
Tussen developers en securityteams
Forbes helpt grote Azure-omgevingen veilig en beheersbaar te maken met governance, Azure Policy en landing zones, zonder developers onnodig te beperken.
Ze vertaalt de wensen van developers en securityteams naar een werkbaar technisch ontwerp. Developers willen snel resources aanmaken, pipelines koppelen en applicaties uitrollen; security beoordeelt toegang, verbindingen en mogelijke risico's. Beveiligingsmaatregelen moeten technisch haalbaar zijn en een duidelijk risico afdekken. Developers moeten begrijpen waarom beperkingen nodig zijn.
Blokkeert een maatregel het werk, dan moeten beide teams daarover kunnen praten. Anders zoeken developers een omweg. "Dat kat-en-muisspel spelen we al met mensen aan de buitenkant. Dat moet je niet binnen een bedrijf gaan krijgen."
Ongeveer zeven jaar geleden begon Forbes op conferenties te spreken. Daarvoor schreef ze al langere tijd over Azure DevOps en de integratie met Azure. Twee jaar lang publiceerde ze iedere twee weken een Engelstalige blogpost. "En er was nog geen AI. Dus dat was flink hard werken."
De blog op 4bes.nl wordt niet meer bijgewerkt, maar blijft online als naslagwerk en trekt nog altijd bezoekers. Tegenwoordig maakt Forbes vooral video's voor haar YouTube-kanaal BA4BES en deelt ze kennis via LinkedIn, trainingen en conferenties.
Die kennisoverdracht past goed bij haar. Forbes ontdekt graag hoe een techniek werkt en vindt het vervolgens minstens zo leuk om dat aan anderen uit te leggen. Daarbij kiest ze voor herkenbare situaties in plaats van abstracte security-modellen. De talk op de Developers Summit is op dezelfde manier opgebouwd.
Wat kan een aanvaller in dertig minuten?
De titel van haar talk, 'De sleutel ligt onder de mat', verwijst naar het gemak waarmee cloudportals, repositories en beheersystemen tegenwoordig bereikbaar zijn. Dat is handig voor developers, maar ook voor iemand die hun inloggegevens weet te bemachtigen.
Security heeft bij veel ontwikkelaars niet het aantrekkelijkste imago. Nieuwe diensten uitproberen en applicaties bouwen voelt productief; extra authenticatiestappen, tijdelijke rechten en afgeschermde werkplekken vooral als vertraging. Forbes begrijpt die irritatie. "Er zijn een aantal securityopties die ik bloedirritant vind.""Stel dat iemand dertig minuten toegang heeft tot jouw credentials. Hoe ver kunnen ze komen?"
Toch betekent dat niet dat zo'n maatregel overbodig is. Om daarover te kunnen oordelen, moeten developers eerst weten wat er op het spel staat. Forbes begint daarom graag met een ongemakkelijke vraag: "Stel dat iemand dertig minuten toegang heeft tot jouw credentials. Hoe ver kunnen ze komen?"
Een account geeft mogelijk niet alleen toegang tot een cloudportal, maar ook tot repositories, CI/CD-pipelines, secrets, databases en omgevingen van andere teams. Een indringer kan extra accounts aanmaken, rechten uitbreiden, credentials kopiëren of een achterdeur plaatsen die blijft bestaan nadat het oorspronkelijke wachtwoord is gewijzigd.
Vrijwel iedereen weet inmiddels dat cybersecurity belangrijk is. Toch blijft het verleidelijk om te denken dat het met het eigen account wel zal loslopen. Forbes rekent zichzelf nadrukkelijk niet tot de uitzonderingen. Ook zij kent momenten waarop een beveiligingsstap omslachtig voelt en de verleiding ontstaat om eromheen te werken.
Het probleem is dat aanvallers voortdurend zoeken naar een geloofwaardige e-mail, een vergeten account of een verkeerd ingestelde koppeling. Voor hen is het vinden van zo'n ingang geen bijzaak, maar hun dagelijkse werk.
Wanneer security zijn doel voorbijschiet
Een bekend voorbeeld van een maatregel die averechts kan uitpakken, is het verplicht periodiek wijzigen van wachtwoorden. Bij sommige organisaties moeten medewerkers nog altijd iedere dertig dagen iets nieuws verzinnen. Het voorspelbare gevolg: een vast woord met een andere maand of een nieuw jaartal erachter. Anderen bewaren hun wachtwoord op een gemakkelijk vindbare plek.
De regel veroorzaakt daarmee wel hinder, maar nauwelijks extra bescherming. "Je zit mensen in de weg en je bereikt je doel niet." Een wachtwoord alleen is volgens Forbes sowieso niet meer voldoende. Daar moet minimaal een tweede factor of een veiliger authenticatiemechanisme naast staan.
Een langlevend secret in een configuratiebestand kan net zo riskant zijn als een wachtwoord op een post-it.
Dezelfde vragen gelden voor applicaties. Een GitHub- of Azure DevOps-pipeline die verbinding maakt met Azure of AWS moet zich authenticeren. Dat geldt ook voor een applicatie die een database benadert. Een langlevend secret in een configuratiebestand kan net zo riskant zijn als een wachtwoord op een post-it.
Developers moeten daarom verder kijken dan hun persoonlijke account. Waar staan de credentials? Hoe lang blijven rechten geldig? Heeft een applicatie permanent toegang nodig, of kan die alleen worden verstrekt op het moment dat een taak wordt uitgevoerd? En wat kan een aanvaller doen met een buitgemaakt token, secret of serviceaccount?
Driedubbele sloten of een touwtje uit de brievenbus
In haar talk gebruikt Forbes Azure en Entra ID om verschillende beveiligingsopties concreet te maken. Daarbij komen onder meer multifactorauthenticatie, just-in-timetoegang, Privileged Identity Management en privileged access workstations aan bod. Niet iedere organisatie heeft al die maatregelen overal nodig. De keuze hangt af van de kans op misbruik, de waarde van het systeem en de schade die een incident kan veroorzaken.
Forbes vergelijkt dat met de beveiliging van een voordeur. Soms is een driedubbel slot terecht, soms volstaat een touwtje uit de brievenbus. Het gaat mis wanneer een organisatie overal hetzelfde slot monteert zonder te kijken wat er achter de deur ligt.
De meest directe quick win uit haar talk kan Forbes alvast prijsgeven: "MFA op alles." Dat klinkt eenvoudig, maar vraagt nog steeds om beheer. Ook bij MFA zoeken mensen naar de gemakkelijkste route. Organisaties moeten daarom nadenken over de authenticatiemethoden die ze aanbieden en voorkomen dat gebruikers gedachteloos iedere melding goedkeuren.
Security hoeft niet altijd groot en ingewikkeld te zijn
Bezoekers krijgen tijdens de sessie een roadmap mee met maatregelen die ze direct kunnen toepassen en investeringen die meer voorbereiding vragen. Wie weet welke toegang werkelijk nodig is, kan overtollige rechten verwijderen en voor gevoelige handelingen tijdelijke toegang regelen. Dat beperkt niet alleen de mogelijkheden van een aanvaller, maar maakt een omgeving vaak ook overzichtelijker.
De talk is niet uitsluitend bedoeld voor securityspecialisten. Forbes richt zich op developers, platformengineers, Azure-beheerders en mensen die binnen hun organisatie moeilijk duidelijk kunnen maken waarom betere beveiliging nodig is.
Ze wil vooral laten zien dat security niet altijd groot en ingewikkeld hoeft te zijn. "Soms kunnen heel kleine aanpassingen al heel veel verschil maken op securitygebied." Wie weet welke sleutels onder de mat liggen, hoeft niet iedere deur dicht te metselen. Maar sommige sleutels kunnen daar beter niet blijven liggen.
Dev Summit 2026: Koop nu je kaartje voor de Tweakers Dev Summit 2026 en verdiep je in het complete programma!
Werk je in - of heb je interesse voor security? Dan mag je deze talk van Barbara natuurlijk niet missen. Koop dan hier een kaartje. De kaartverkoop gaat als een brandweer dus wacht niet heel lang meer als je er bij wilt zijn. Meer informatie over het programma, workshops en de andere sprekers vind je op de aparte Dev Summit-website. We zien je heel graag eind oktober!
:strip_icc():strip_exif()/u/28633/crop55bf7eb1e965f_cropped.jpeg?f=community)
:strip_icc():strip_exif()/u/20646/crop68f8089046714_cropped.jpg?f=community)
/u/1810900/crop632b04659c792_cropped.png?f=community)
