.Plan - Dev Summit 2026 met Barbara Forbes: hoeveel sleutels liggen er onder jouw mat?

In dit artikel:

Azure-architect Barbara Forbes richt zich tijdens de Tweakers Developers Summit op de vraag hoeveel schade een aanvaller in korte tijd kan veroorzaken met gestolen cloudinloggegevens. In haar presentatie legt ze uit hoe ontwikkelaars hun Azure-omgeving beter kunnen beveiligen zonder dat securitymaatregelen het dagelijkse werk onnodig vertragen.

Forbes werkt als consultant bij Zure en houdt zich onder meer bezig met cloudgovernance, Azure Policy, landing zones en Infrastructure as Code. Daarnaast is ze Microsoft Azure MVP, trainer en GitHub Star. Ze begon al op jonge leeftijd met het bouwen van websites en maakte van die interesse later haar beroep. Inmiddels deelt ze haar kennis via video’s, trainingen, LinkedIn en conferenties.

In haar werk probeert Forbes de belangen van ontwikkelaars en beveiligingsteams bij elkaar te brengen. Developers willen snel infrastructuur opzetten, pipelines verbinden en applicaties publiceren. Securityteams letten juist op toegangsrechten, verbindingen en de gevolgen van misbruik. Volgens Forbes werken regels alleen goed als ze een concreet risico beperken en technisch uitvoerbaar zijn. Te veel hinder kan ertoe leiden dat medewerkers zelf omwegen zoeken, waardoor de organisatie juist minder controle krijgt.

De centrale casus in haar sessie is een account dat een aanvaller een half uur kan gebruiken. Zo’n account kan mogelijk toegang geven tot cloudportalen, broncode, CI/CD-processen, secrets, databases en systemen van andere teams. Een indringer kan vervolgens rechten uitbreiden, nieuwe accounts maken, gegevens kopiëren of blijvende toegang achterlaten. Daarom moeten organisaties niet alleen kijken naar persoonlijke accounts, maar ook naar serviceaccounts, tokens en applicaties die langdurig toegang houden.

Forbes waarschuwt onder meer voor beveiligingsregels die vooral ongemak opleveren. Een verplichte maandelijkse wachtwoordwijziging leidt volgens haar vaak tot voorspelbare varianten of slecht opgeborgen wachtwoorden. Een wachtwoord is bovendien niet voldoende als enige bescherming; aanvullende authenticatie is noodzakelijk. Ook configuratiebestanden met langdurig geldige secrets vormen een risico wanneer een applicatie die gegevens niet werkelijk permanent nodig heeft.

Tijdens de presentatie behandelt Forbes maatregelen als multifactor-authenticatie, tijdelijke toegangsrechten, Privileged Identity Management en speciaal beveiligde werkplekken voor beheertaken. Welke combinatie passend is, hangt af van de waarde van een systeem, de kans op misbruik en de mogelijke schade. Niet iedere omgeving hoeft volgens haar met dezelfde zware beveiliging te worden ingericht.

Een eerste praktische stap is multifactor-authenticatie breed invoeren. Ook daarbij moeten organisaties letten op gebruiksgemak en voorkomen dat medewerkers zonder nadenken iedere verificatiemelding accepteren. Verder kunnen overtollige rechten worden verwijderd en gevoelige bevoegdheden alleen tijdelijk beschikbaar worden gemaakt. Dat verkleint de speelruimte van een aanvaller en maakt de infrastructuur vaak overzichtelijker.

De sessie is bedoeld voor developers, platformengineers, Azure-beheerders en anderen die betere beveiliging binnen hun organisatie willen realiseren. Forbes wil laten zien dat daarvoor niet altijd omvangrijke projecten nodig zijn: gerichte, kleine verbeteringen kunnen al een groot effect hebben. Haar presentatie staat gepland tijdens de Tweakers Developers Summit 2026, die eind oktober plaatsvindt.