Una aseguradora de salud almacena PII en un bucket de Amazon S3 y actualmente utiliza cifrado del lado del servidor con claves administradas por S3 (SSE-S3). Un nuevo requisito exige que todos los objetos existentes y futuros en el bucket se cifren con claves administradas por el equipo de seguridad de la empresa (claves administradas por el cliente). El bucket de S3 no tiene el control de versiones habilitado. ¿Qué enfoque satisface este requisito?

La opción correcta es la única que cumple con todos los requisitos. Para cifrar con claves administradas por el equipo de seguridad, se debe usar SSE-KMS, ya que permite la administración de claves a través de AWS KMS. Establecer SSE-KMS como cifrado predeterminado en el bucket asegura que los objetos futuros se cifren automáticamente. La política de bucket que deniega solicitudes PutObject sin cifrar refuerza este requisito, impidiendo que se suban objetos sin el cifrado deseado. Finalmente, dado que los objetos existentes están cifrados con SSE-S3 y el versionado no está habilitado, la única forma de recifrarlos con SSE-KMS es volver a cargarlos. La primera opción es incorrecta porque SSE-S3 no permite claves administradas por el cliente. La tercera opción es incorrecta porque una política de bucket no puede "cifrar automáticamente" objetos en solicitudes GetObject y PutObject; el cifrado se configura en el lado del servidor o del cliente. La cuarta opción es incorrecta porque "AES-256 con una clave administrada por el cliente" no es una opción de cifrado predeterminada directa en las propiedades del bucket de S3 de la misma manera que SSE-KMS.