Uma empresa precisa de uma solução para impor a criptografia de dados em repouso em instâncias Amazon EC2. A solução deve identificar automaticamente recursos não compatíveis e impor políticas de conformidade sobre as descobertas. Qual solução atenderá a esses requisitos com a MENOR sobrecarga administrativa?

A opção correta combina uma política de prevenção com ferramentas de detecção e remediação. Uma política do IAM que restringe a criação de volumes EBS não criptografados é uma medida proativa eficaz para garantir a conformidade desde o início. O AWS Config monitora continuamente os recursos para identificar volumes EBS não criptografados, enquanto o AWS Systems Manager pode ser usado para automatizar a remediação, como a criptografia de volumes existentes ou a interrupção de instâncias não conformes. Essa abordagem minimiza a sobrecarga administrativa ao automatizar grande parte do processo. A opção com AWS KMS, Lambda e EventBridge é viável, mas o KMS é para gerenciamento de chaves, não para impor a criptografia em si. Lambda e EventBridge exigem mais desenvolvimento e manutenção de código personalizado. As opções com Amazon Macie ou Amazon Inspector estão incorretas porque essas ferramentas não são projetadas para detectar volumes EBS não criptografados. O Macie foca na descoberta de dados sensíveis em armazenamento, e o Inspector em vulnerabilidades de segurança e desvios de configuração em instâncias EC2, não em volumes EBS especificamente para criptografia.