Une entreprise développe une application hébergée sur AWS qui stocke des informations sensibles. L'équipe de support a accès à l'infrastructure, y compris aux bases de données. L'ingénieur de sécurité doit protéger les données sensibles contre les violations tout en minimisant la charge opérationnelle, et les identifiants doivent être renouvelés régulièrement. Que doit recommander l'ingénieur de sécurité ?

La bonne réponse protège les données sensibles et gère les identifiants de manière sécurisée et automatisée. Le chiffrement Amazon RDS et EBS assure la protection des données au repos. AWS Secrets Manager est la solution recommandée pour stocker et faire pivoter automatiquement les identifiants de base de données, réduisant ainsi la charge opérationnelle et améliorant la sécurité. L'exigence de TLS pour les connexions à la base de données protège les données en transit. Les autres options présentent des lacunes: L'option 1 place les identifiants dans les données utilisateur EC2, ce qui est une pratique non sécurisée et ne permet pas de rotation automatique native. L'option 2 suggère un chiffrement de disque tiers et l'installation de la base de données sur EC2, ce qui augmente la charge opérationnelle par rapport à RDS et le chiffrement tiers n'est pas toujours optimal. AWS CloudHSM est une option valide pour le stockage des identifiants, mais Secrets Manager est plus simple pour la rotation automatique. L'option 4 utilise AWS Systems Manager Parameter Store pour les identifiants, qui ne prend pas en charge la rotation automatique nativement pour les identifiants de base de données comme le fait Secrets Manager.