Um aplicativo de finanças pessoais armazena arquivos financeiros confidenciais no Amazon S3 e requer criptografia do lado do servidor. A empresa não quer fornecer suas próprias chaves, mas precisa de um registro de auditoria mostrando quem usou a chave e quando. Qual opção de criptografia atende a essas necessidades?

A opção correta é usar SSE-KMS. SSE-KMS (Server-Side Encryption with AWS KMS managed keys) criptografa objetos S3 usando chaves gerenciadas pelo AWS Key Management Service (KMS). O KMS oferece um registro de auditoria detalhado via AWS CloudTrail, mostrando quem usou a chave e quando, atendendo ao requisito de auditoria. Além disso, a AWS gerencia as chaves, liberando a empresa dessa responsabilidade. A criptografia do lado do cliente não é uma criptografia do lado do servidor e exige que a empresa gerencie as chaves. SSE-S3 (Server-Side Encryption with S3 managed keys) usa chaves gerenciadas pela AWS, mas não fornece o registro de auditoria detalhado do uso da chave que o KMS oferece. SSE-C (Server-Side Encryption with customer-provided keys) exige que a empresa forneça e gerencie suas próprias chaves, o que a empresa não deseja fazer.