Ein Krankenversicherer speichert PII in einem Amazon S3-Bucket und verwendet derzeit die serverseitige Verschlüsselung mit S3-verwalteten Schlüsseln (SSE-S3). Eine neue Anforderung schreibt vor, dass alle vorhandenen und zukünftigen Objekte im Bucket mit Schlüsseln verschlüsselt werden müssen, die vom Sicherheitsteam des Unternehmens verwaltet werden (kundenverwaltete Schlüssel). Für den S3-Bucket ist keine Versionierung aktiviert. Welcher Ansatz erfüllt diese Anforderung?

Die korrekte Lösung erfüllt alle Anforderungen. Zuerst wird die Standardverschlüsselung des S3-Buckets auf SSE-KMS geändert, um kundenverwaltete Schlüssel (über AWS KMS) für zukünftige Uploads zu verwenden. Eine Bucket-Richtlinie, die unverschlüsselte PutObject-Anfragen ablehnt, stellt sicher, dass alle neuen Objekte verschlüsselt werden. Schließlich müssen alle bestehenden Objekte erneut hochgeladen werden, da die Änderung der Standardverschlüsselung nur für neue Objekte gilt und nicht rückwirkend wirkt. Die erste Option ist falsch, da "SSE-S3 unter Verwendung eines kundenverwalteten Schlüssels" keine gültige S3-Verschlüsselungsoption ist; SSE-S3 verwendet AWS-verwaltete Schlüssel. Die dritte Option ist falsch, weil eine Bucket-Richtlinie Objekte nicht automatisch bei GetObject- oder PutObject-Anfragen verschlüsselt; sie kann nur Anforderungen zulassen oder ablehnen. Die vierte Option ist falsch, da "AES-256 mit einem kundenverwalteten Schlüssel" keine gültige S3-Verschlüsselungsoption ist; AES-256 ist der Algorithmus, der von SSE-S3 verwendet wird, aber nicht mit kundenverwalteten Schlüsseln.