Uma empresa armazenará dados confidenciais no Amazon S3. Para conformidade, os dados devem ser criptografados em repouso, o uso da chave de criptografia deve ser registrado para auditoria e as chaves devem ser rotacionadas anualmente. Qual solução atende a esses requisitos e é a MAIS eficiente operacionalmente?

SSE-KMS com rotação automática é a solução mais eficiente operacionalmente porque atende a todos os requisitos: criptografia em repouso (SSE-KMS), registro de uso de chaves para auditoria (via AWS CloudTrail integrado ao KMS) e rotação anual de chaves (automática no KMS). SSE-C exige que o cliente gerencie e forneça as chaves, aumentando a sobrecarga operacional e não registrando o uso de chaves no CloudTrail. SSE-S3 não oferece rotação de chaves nem registro de uso para auditoria. SSE-KMS com rotação manual exigiria intervenção regular para a rotação, sendo menos eficiente operacionalmente do que a opção automática.