Uma empresa armazena logs de chamadas no S3 que incluem informações confidenciais de clientes. Os objetos devem ser criptografados usando chaves que apenas certos funcionários podem acessar. Qual solução oferece a proteção necessária com o menor esforço?

SSE-KMS (Server-Side Encryption with AWS KMS keys) é a solução mais adequada porque oferece a segurança necessária com o menor esforço. O AWS Key Management Service (KMS) permite criar e controlar chaves de criptografia, e a integração com o S3 é nativa, simplificando a implementação. As políticas do IAM podem ser usadas para controlar precisamente quais funcionários têm permissão para usar as chaves KMS para criptografar e descriptografar dados. Usar AWS CloudHSM (Hardware Security Module) é uma opção segura, mas exige mais esforço operacional para gerenciar o cluster e integrar com o S3. SSE-C (Server-Side Encryption with Customer-Provided Keys) exige que a empresa gerencie e forneça as chaves, o que pode ser complexo e aumentar o risco de perda de chaves. SSE-S3 (Server-Side Encryption with Amazon S3-Managed Keys) é a opção mais simples, mas as chaves são gerenciadas pela AWS e não oferecem o mesmo nível de controle de acesso granular que o KMS, tornando-a menos adequada para dados confidenciais com requisitos de acesso restrito a funcionários específicos.