Um hospital deve armazenar registros de pacientes em um bucket S3. A equipe de conformidade exige que todas as informações de saúde protegidas (PHI) sejam criptografadas em trânsito e em repouso, e que a equipe de conformidade administre a chave de criptografia para os dados em repouso. Qual solução atende a esses requisitos?

A opção correta atende a todos os requisitos: a condição aws:SecureTransport na política de bucket S3 garante a criptografia em trânsito (HTTPS/TLS). A criptografia padrão com SSE-KMS garante a criptografia em repouso, e o AWS KMS permite que a equipe de conformidade gerencie as chaves de criptografia, cumprindo a exigência de controle sobre as chaves. A primeira opção está incorreta porque o S3 não suporta a associação direta de certificados ACM públicos para criptografia em trânsito, e SSE-KMS é a escolha certa para o gerenciamento de chaves, mas o método de criptografia em trânsito está errado. A segunda opção está incorreta porque SSE-S3 não permite que a equipe de conformidade gerencie as chaves, pois são gerenciadas pela AWS. A quarta opção está incorreta porque o Amazon Macie é uma ferramenta de descoberta e proteção de dados, não um mecanismo de criptografia em trânsito ou em repouso.