Firma regularnie przesyła poufne dane do Amazon S3 w celu analizy. Polityka bezpieczeństwa wymaga, aby obiekty były szyfrowane w spoczynku, klucz szyfrowania musiał być automatycznie rotowany co roku, rotacja klucza musiała być śledzona w AWS CloudTrail, a koszty klucza musiały być zminimalizowane. Które rozwiązanie spełnia te wymagania?

SSE-KMS (Server-Side Encryption with AWS KMS keys) spełnia wszystkie wymagania. Zapewnia szyfrowanie danych w spoczynku w S3. Klucze KMS są automatycznie rotowane co roku, a rotacja ta jest rejestrowana w AWS CloudTrail. Dodatkowo, SSE-KMS wykorzystuje klucze zarządzane przez AWS, co minimalizuje koszty w porównaniu do kluczy zarządzanych przez klienta (CMK), ponieważ nie ma dodatkowych opłat za przechowywanie i używanie kluczy, a jedynie za operacje kryptograficzne. SSE-C (Server-Side Encryption with Customer-Provided Keys) wymaga od klienta zarządzania kluczami, ich rotacji i śledzenia, co nie spełnia wymagań automatycznej rotacji i minimalizacji kosztów. SSE-S3 (Server-Side Encryption with Amazon S3-Managed Keys) szyfruje dane, ale nie oferuje automatycznej rocznej rotacji kluczy ani śledzenia rotacji w CloudTrail. Opcja "szyfrowanie po stronie serwera z kluczami AWS KMS zarządzanymi przez klienta" odnosi się do CMK (Customer Managed Keys), które wiążą się z wyższymi kosztami niż klucze zarządzane przez AWS w SSE-KMS.