Un assicuratore sanitario archivia PII in un bucket Amazon S3 e attualmente utilizza la crittografia lato server con chiavi gestite da S3 (SSE-S3). Un nuovo requisito impone che tutti gli oggetti esistenti e futuri nel bucket siano crittografati con chiavi gestite dal team di sicurezza dell'azienda (chiavi gestite dal cliente). Il bucket S3 non ha il versioning abilitato. Quale approccio soddisfa questo requisito?

L'opzione corretta soddisfa tutti i requisiti. La modifica della crittografia predefinita del bucket in SSE-KMS con una chiave gestita dal cliente (Customer Managed Key, CMK) garantisce che tutti i nuovi oggetti caricati siano crittografati con la chiave desiderata. La ricarica degli oggetti esistenti tramite la AWS CLI è necessaria perché la modifica della crittografia predefinita non crittografa retroattivamente gli oggetti già presenti nel bucket. La policy del bucket che nega le richieste PutObject non crittografate rafforza il requisito di crittografia per tutti i nuovi caricamenti. Le opzioni errate presentano i seguenti problemi: Impostare la crittografia predefinita su SSE-S3 con una chiave gestita dal cliente non è un'opzione valida; SSE-S3 utilizza chiavi gestite da S3. La crittografia automatica tramite policy su GetObject e PutObject non è un meccanismo standard di S3; la crittografia è gestita al momento del PutObject. AES-256 non è un tipo di crittografia predefinita selezionabile direttamente con una chiave gestita dal cliente in S3; SSE-KMS è il meccanismo per le chiavi gestite dal cliente.