Un'azienda sta creando un'applicazione ospitata su AWS che memorizza informazioni sensibili. Il team di supporto ha accesso all'infrastruttura, inclusi i database. L'ingegnere della sicurezza deve proteggere i dati sensibili da violazioni riducendo al minimo l'overhead operativo e le credenziali devono essere ruotate regolarmente. Cosa dovrebbe raccomandare l'ingegnere della sicurezza?

L'opzione corretta abilita la crittografia per i dati a riposo su Amazon RDS (database e snapshot) e Amazon EBS (per istanze EC2), garantendo la protezione dei dati sensibili. L'uso di AWS Secrets Manager per le credenziali del database con rotazione automatica riduce l'overhead operativo e migliora la sicurezza, eliminando la necessità di gestire manualmente le credenziali. La richiesta di TLS per le connessioni al database RDS protegge i dati in transito. Le opzioni errate presentano delle debolezze: Inserire le credenziali nei dati utente di EC2 è una pratica non sicura. L'installazione del database su EC2 e l'uso di crittografia di terze parti aumentano l'overhead operativo e non sfruttano appieno i servizi gestiti di AWS. AWS CloudHSM è più complesso e costoso di Secrets Manager per la sola gestione delle credenziali. AWS Systems Manager Parameter Store non offre la rotazione automatica delle credenziali come Secrets Manager, aumentando l'overhead di gestione.