Firma tworzy hostowaną w AWS aplikację, która przechowuje poufne informacje. Zespół wsparcia ma dostęp do infrastruktury, w tym do baz danych. Inżynier bezpieczeństwa musi chronić poufne dane przed naruszeniami, jednocześnie minimalizując obciążenie operacyjne, a poświadczenia muszą być regularnie rotowane. Co powinien zarekomendować inżynier bezpieczeństwa?

Poprawna odpowiedź zapewnia kompleksowe podejście do ochrony poufnych danych i zarządzania poświadczeniami. Włączenie szyfrowania Amazon RDS i Amazon EBS chroni dane w spoczynku. Przechowywanie poświadczeń bazy danych w AWS Secrets Manager z automatyczną rotacją minimalizuje obciążenie operacyjne i zwiększa bezpieczeństwo, ponieważ Secrets Manager natywnie obsługuje rotację poświadczeń dla baz danych RDS. Wymaganie TLS dla połączeń z bazą danych RDS chroni dane w transporcie. Pozostałe opcje są mniej optymalne: Umieszczanie poświadczeń bazy danych w danych użytkownika EC2 jest niebezpieczne i nie zapewnia rotacji. Instalowanie bazy danych na instancji EC2 i używanie szyfrowania dysku innej firmy zwiększa obciążenie operacyjne i nie jest natywnym rozwiązaniem AWS dla rotacji poświadczeń. Przechowywanie poświadczeń w AWS CloudHSM jest droższe i bardziej złożone niż Secrets Manager dla tego przypadku użycia, a CloudHSM nie zapewnia automatycznej rotacji poświadczeń dla baz danych RDS w taki sam sposób jak Secrets Manager. AWS Systems Manager Parameter Store nie oferuje natywnej automatycznej rotacji poświadczeń dla baz danych w taki sam sposób jak AWS Secrets Manager, co zwiększyłoby obciążenie operacyjne.