Eine persönliche Finanz-App speichert sensible Finanzdateien in Amazon S3 und erfordert serverseitige Verschlüsselung. Das Unternehmen möchte keine eigenen Schlüssel bereitstellen, benötigt aber einen Audit-Trail, der zeigt, wer den Schlüssel wann verwendet hat. Welche Verschlüsselungsoption erfüllt diese Anforderungen?

SSE-KMS (Server-Side Encryption with AWS KMS managed keys) ist die korrekte Wahl, da es serverseitige Verschlüsselung bietet und die Schlüsselverwaltung durch AWS KMS erfolgt. Dies erfüllt die Anforderung, keine eigenen Schlüssel bereitstellen zu müssen. Der entscheidende Vorteil von SSE-KMS ist der Audit-Trail: AWS CloudTrail protokolliert alle API-Aufrufe an KMS, einschließlich der Schlüsselnutzung, was die Nachverfolgung ermöglicht, wer wann den Schlüssel verwendet hat. Clientseitige Verschlüsselung mit vom Client bereitgestellten Schlüsseln würde bedeuten, dass das Unternehmen die Schlüssel selbst verwalten muss, was explizit ausgeschlossen wurde. SSE-S3 (Server-Side Encryption with S3-managed keys) verschlüsselt die Daten serverseitig, aber es gibt keinen Audit-Trail für die Schlüsselnutzung, da S3 die Schlüssel vollständig verwaltet und die Nutzung nicht in CloudTrail protokolliert wird. SSE-C (Server-Side Encryption with customer-provided keys) erfordert, dass der Kunde die Schlüssel selbst bereitstellt und verwaltet, was ebenfalls nicht gewünscht ist.