Uma empresa financeira armazenará dados altamente confidenciais em um bucket do Amazon S3 e deve garantir que os dados sejam criptografados em trânsito e em repouso. A empresa deve gerenciar as chaves de criptografia fora da Nuvem AWS. Qual solução atende a esses requisitos?

A criptografia dos dados no data center da empresa antes de armazená-los no S3 (Client-Side Encryption) é a única opção que permite à empresa gerenciar as chaves de criptografia fora da Nuvem AWS, atendendo ao requisito de controle total sobre as chaves. Isso garante que a AWS nunca tenha acesso às chaves de descriptografia. As outras opções, como SSE-KMS com chaves gerenciadas pelo cliente ou pela AWS, e SSE-S3, utilizam chaves gerenciadas dentro do ambiente AWS, o que não atende ao requisito de gerenciamento de chaves fora da nuvem. A criptografia do lado do cliente também garante a criptografia em trânsito (se a conexão for segura, como HTTPS) e em repouso (no S3).