La empresa utiliza RDS para todas las bases de datos y AWS Control Tower para gestionar las cuentas. Todas las bases de datos deben estar cifradas en reposo. El ingeniero de seguridad debe ser notificado sobre cualquier instancia de RDS no conforme (sin cifrar) en todas las cuentas. ¿Qué solución proporciona la mayor eficiencia operativa?

La opción correcta aprovecha las capacidades nativas de AWS Control Tower para la gobernanza multi-cuenta. Habilitar un control de detección para el cifrado de RDS es la forma más eficiente de identificar recursos no conformes en todas las cuentas gestionadas por Control Tower, ya que está diseñado para este propósito. La integración con EventBridge y SNS en la cuenta de auditoría centraliza las notificaciones, simplificando la gestión operativa. Las opciones incorrectas son menos eficientes: Implementar funciones Lambda en cada cuenta es más complejo y requiere más mantenimiento que un control de Control Tower. Una regla personalizada de AWS Config en cada cuenta también es menos eficiente que un control centralizado de Control Tower para la gobernanza multi-cuenta. Lanzar una instancia EC2 con un trabajo cron es una solución manual, costosa y no escalable, que va en contra de las mejores prácticas de AWS.