c2.17 Criptografar dados em repouso
Os serviços de armazenamento da AWS oferecem criptografia do lado do servidor com mínimo esforço, então criptografe tudo. Para dados sensíveis, use suas próprias chaves do AWS KMS para controlar a chave, poder compartilhá-la entre contas e ajustar a rotação às suas necessidades de conformidade.
Guia de implementação
Criptografe tudo e seja dono das chaves sensíveis
A maioria dos serviços de armazenamento da AWS suporta criptografia do lado do servidor que você pode habilitar quase sem esforço: ative-a amplamente. Para dados sensíveis, use uma chave gerenciada pelo cliente no AWS KMS em vez de uma chave de propriedade da AWS, porque isso permite:
- desabilitar a chave para cortar o acesso,
- compartilhá-la entre contas (útil para entregar snapshots a uma equipe de resposta a incidentes),
- e definir um intervalo de rotação de acordo com seus requisitos de conformidade.
Verifique a criptografia em escala
Use controles do AWS Security Hub CSPM para encontrar recursos sem criptografia em toda a organização —por exemplo volumes EBS e instâncias RDS sem criptografia em repouso— além de controles que cobrem DynamoDB, OpenSearch, segredos do EKS e mais.
KMS vs. CloudHSM
Prefira o KMS: é mais econômico, altamente disponível entre AZs e respaldado por HSMs resistentes a adulteração. Escolha o AWS CloudHSM apenas quando você precisar especificamente de um HSM dedicado de tenant único; e se precisar, execute um cluster em várias zonas de disponibilidade para alta disponibilidade.
Material de chave
A menos que você tenha um motivo forte, evite importar material de chave externo ou usar um armazenamento de chaves externo: ambos trazem compromissos de segurança e durabilidade frente às chaves geradas pelo KMS.
Ative a criptografia de EBS por padrão
Habilite a criptografia por padrão no nível da conta para os novos volumes EBS (por Região). Confirme que está ativa:
aws ec2 enable-ebs-encryption-by-default
aws ec2 get-ebs-encryption-by-defaultComo validar
- Todos os dados críticos e sensíveis estão criptografados em repouso?
- Você usa chaves KMS gerenciadas pelo cliente para dados sensíveis, com rotação de acordo com suas necessidades?
- Você usa controles do Security Hub CSPM para detectar recursos sem criptografia em toda a organização?
Ameaças atendidas
- Dados sem criptografia em repouso são legíveis por qualquer um que obtenha o armazenamento subjacente (um snapshot compartilhado, um volume roubado, um bucket mal configurado), transformando uma exposição de armazenamento em um vazamento de dados.
Serviços AWS
AWS KMS 
Amazon EBS 
AWS Security Hub Preços
O nível gratuito da AWS inclui 20.000 requisições gratuitas do KMS por mês. Veja os preços do AWS KMS.