Un'azienda carica regolarmente dati riservati su Amazon S3 per l'analisi. La policy di sicurezza richiede che gli oggetti siano crittografati a riposo, la chiave di crittografia deve essere ruotata automaticamente ogni anno, la rotazione della chiave deve essere tracciabile in AWS CloudTrail e i costi delle chiavi devono essere minimizzati. Quale soluzione soddisfa questi requisiti?

SSE-KMS (Server-Side Encryption with AWS KMS keys) è la soluzione corretta perché soddisfa tutti i requisiti. Offre la crittografia a riposo, la rotazione automatica delle chiavi (ogni anno per le chiavi gestite da AWS KMS), la tracciabilità tramite CloudTrail e un costo inferiore rispetto alle chiavi KMS gestite dal cliente (CMK). SSE-C richiede che il cliente gestisca e ruoti le proprie chiavi, non soddisfacendo il requisito di rotazione automatica e tracciabilità. SSE-S3 non offre la rotazione automatica delle chiavi e la tracciabilità dettagliata richiesta. Le chiavi AWS KMS gestite dal cliente (CMK) offrono funzionalità simili a SSE-KMS, ma comportano costi aggiuntivi per la gestione delle chiavi, violando il requisito di minimizzazione dei costi.