Un ospedale deve archiviare le cartelle cliniche dei pazienti in un S3 bucket. Il team di conformità richiede che tutte le informazioni sanitarie protette (PHI) siano crittografate in transito e a riposo, e che il team di conformità amministri la chiave di crittografia per i dati a riposo. Quale soluzione soddisfa questi requisiti?

La soluzione corretta soddisfa tutti i requisiti: aws:SecureTransport nelle policy del bucket S3 impone la crittografia in transito tramite HTTPS (TLS). La crittografia lato server con chiavi AWS KMS (SSE-KMS) garantisce la crittografia a riposo, e l'assegnazione della gestione delle chiavi KMS al team di conformità gli consente di amministrare le chiavi, come richiesto. La prima opzione è errata perché i certificati SSL/TLS di ACM non vengono associati direttamente a S3 per la crittografia del traffico; S3 gestisce i propri certificati per HTTPS. Inoltre, sebbene SSE-KMS sia corretto per la crittografia a riposo, l'approccio per la crittografia in transito è sbagliato. La seconda opzione è errata perché SSE-S3 utilizza chiavi gestite da AWS, non dal cliente, quindi il team di conformità non potrebbe amministrarle. La quarta opzione è errata perché Amazon Macie è un servizio di scoperta e protezione dei dati sensibili, non un meccanismo di crittografia a riposo o in transito. Sebbene aws:SecureTransport sia corretto per la crittografia in transito, Macie non soddisfa il requisito di crittografia a riposo con chiavi gestite dal team di conformità.