Un assureur de santé stocke des informations personnelles identifiables (PII) dans un compartiment Amazon S3 et utilise actuellement le chiffrement côté serveur avec des clés gérées par S3 (SSE-S3). Une nouvelle exigence stipule que tous les objets existants et futurs du compartiment doivent être chiffrés avec des clés gérées par l'équipe de sécurité de l'entreprise (clés gérées par le client). Le compartiment S3 n'a pas de versioning activé. Quelle approche satisfait cette exigence ?

L'option correcte répond à toutes les exigences. La modification du chiffrement par défaut du compartiment en SSE-KMS (clés gérées par le client via KMS) garantit que les nouveaux objets sont chiffrés avec la clé souhaitée. L'ajout d'une politique de compartiment refusant les requêtes PutObject non chiffrées applique cette exigence. Enfin, le re-téléchargement des objets existants est nécessaire car la modification du chiffrement par défaut n'affecte pas les objets déjà stockés. L'option "SSE-S3 avec une clé gérée par le client" est incorrecte car SSE-S3 utilise des clés gérées par S3, pas par le client. L'option "chiffre automatiquement les objets lors des requêtes GetObject et PutObject" est incorrecte car S3 ne chiffre pas automatiquement les objets existants lors des requêtes GetObject et la politique de chiffrement par défaut affecte les PutObject mais pas les objets déjà présents. L'option "AES-256 avec une clé gérée par le client" est imprécise et ne correspond pas directement à un mode de chiffrement S3 standard géré par le client comme SSE-KMS.