Courseiva
← Preguntas de CLF-C02
Ver la pregunta original en inglés
MediaOpción múltiple

Pregunta de práctica de CLF-C02

Una empresa almacena datos financieros confidenciales en Amazon S3. La política de seguridad de la empresa exige que todos los datos se cifren en reposo utilizando una clave que la empresa cree y gestione, con la capacidad de rotar la clave anualmente. La empresa también necesita una pista de auditoría de cuándo se utilizó la clave y qué servicio de AWS la empleó. ¿Qué solución debe utilizar la empresa para cumplir con estos requisitos?

Elige la mejor respuesta.

Respuesta correcta

  • BUtilizar el cifrado del lado del servidor con claves administradas por el cliente de AWS KMS (SSE-KMS).

Explicación

SSE-KMS con una clave administrada por el cliente (CMK) permite a la empresa crear y gestionar su propia clave de cifrado, habilitar la rotación automática anual de claves a través de AWS KMS y proporciona registros de auditoría detallados en CloudTrail de cada llamada a la API de KMS (por ejemplo, Decrypt, GenerateDataKey) que muestran qué servicio o usuario de AWS utilizó la clave. Esto satisface todos los requisitos establecidos: clave administrada por el cliente, rotación anual y pista de auditoría.

Por qué cada opción es correcta o incorrecta

A

Incorrecta

Utilizar el cifrado del lado del servidor con claves administradas por S3 (SSE-S3).

SSE-S3 utiliza claves administradas por AWS que el cliente no puede rotar y no proporciona una pista de auditoría detallada del uso de claves a través de CloudTrail. Aunque proporciona cifrado en reposo, no cumple con el requisito de rotación y auditoría de claves administradas por el cliente.

B

Correcta

Utilizar el cifrado del lado del servidor con claves administradas por el cliente de AWS KMS (SSE-KMS).

SSE-KMS con claves administradas por el cliente permite a la empresa crear, poseer y rotar claves anualmente a través de KMS, y cada uso criptográfico se registra en CloudTrail, identificando el servicio de AWS que realiza la llamada. Esto cumple con las restricciones de cifrado en reposo, control de claves y pista de auditoría.

C

Incorrecta

Utilizar el cifrado del lado del servidor con claves proporcionadas por el cliente (SSE-C).

SSE-C requiere que el cliente suministre la clave de cifrado con cada solicitud, pero Amazon S3 no almacena la clave. El cliente debe gestionar la clave por separado (por ejemplo, rotación, almacenamiento), lo que no se alinea con el requisito de que S3 gestione la clave bajo el control del cliente. Además, SSE-C no proporciona rotación de claves integrada ni auditoría integrada de CloudTrail para la clave en sí.

D

Incorrecta

Utilizar el cifrado del lado del cliente con una clave administrada por AWS KMS.

El cifrado del lado del cliente cifra los datos antes de enviarlos a Amazon S3. La clave de cifrado es gestionada por la aplicación cliente, no por S3. Aunque AWS KMS se puede utilizar como fuente de claves, el cifrado ocurre fuera de S3 y la empresa es responsable de implementar la lógica de cifrado. Esto añade complejidad y no aprovecha las capacidades nativas de cifrado del lado del servidor de S3.

Para profundizar

SSE-KMS con una clave administrada por el cliente le permite controlar la política de claves, habilitar la rotación anual automática y cada llamada Encrypt/Decrypt se registra en AWS CloudTrail con el principal del servicio solicitante, satisfaciendo el requisito de auditoría. Un comportamiento sutil: S3 envía el ARN de la clave en la solicitud, y si al llamante le falta kms:Decrypt o kms:GenerateDataKey, la solicitud falla incluso si la política de IAM de S3 lo permite; asimismo, las solicitudes de KMS están sujetas a cuotas por segundo, por lo que las cargas de trabajo de alto rendimiento pueden necesitar claves de bucket de S3 para reducir las llamadas a KMS. SSE-C utiliza una clave que usted proporciona en cada solicitud y no produce ninguna pista de uso de claves en CloudTrail, mientras que SSE-S3 utiliza una clave administrada por AWS que no puede rotar ni auditar, por lo que ninguna cumple con la política establecida.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.