Una empresa ejecuta una aplicación de alta sensibilidad en Amazon EC2 respaldada por una base de datos Amazon RDS. El cumplimiento normativo exige que toda la información de identificación personal (PII) se cifre en reposo. ¿Qué solución debería recomendar un arquitecto de soluciones para cumplir este requisito con la MENOR cantidad de cambios en la infraestructura?

La opción correcta es configurar el cifrado de Amazon EBS y Amazon RDS con AWS KMS. Esto se debe a que tanto las instancias EC2 como las bases de datos RDS almacenan datos en reposo, y el requisito de cumplimiento exige que toda la PII esté cifrada en reposo. AWS KMS proporciona una forma gestionada y segura de crear y controlar las claves de cifrado. El cifrado de EBS se aplica a los volúmenes de las instancias EC2, y el cifrado de RDS se aplica a la base de datos, cubriendo así todos los datos en reposo relevantes con la menor cantidad de cambios, ya que estas características son nativas de AWS. Implementar AWS Certificate Manager no es adecuado porque ACM gestiona certificados SSL/TLS para cifrado en tránsito, no para cifrado en reposo de volúmenes de bases de datos. AWS CloudHSM es una opción válida para el cifrado en reposo, pero es una solución más compleja y costosa que AWS KMS, lo que implicaría más cambios en la infraestructura. Configurar el cifrado SSL con claves KMS solo aborda el cifrado en tránsito (SSL/TLS) y no el cifrado en reposo de los volúmenes de la base de datos.