问题描述
AWS为其RDS实例提供了静态状态下的加密功能。尽管我认为这听起来很好，并且在安全审查中经常被提及，但我不确定其真正的好处是什么。最有可能的情况是，某人将通过我的AWS账户来获取数据库访问权限，这将使KMS的任何好处无效（除非正好是一个没有访问该KMS密钥权限且没有授权授予该访问权限的用户）。在哪些现实情况下，这会保护我的公司？
在Reddit上几年前有类似的问题被问到，有人回答如下：
我一直认为这（以及S3加密等）大多是安全戏剧。如果一个流氓的亚马逊员工从机架上拿走一堆磁盘并窃取它们，那么加密将在这种情况下保护您。但是这种情况很少发生，即使发生，数据可能已经分片存储在许多物理磁盘上，而且谁知道即使没有加密，该员工是否能够获取可用的数据。但在现实世界中，HIPAA、PCI或其他合规标准经常要求您使用这个，无论它是否是安全戏剧。所以你只需启用它，然后继续生活。
我想知道除了营销声明和监管合规问题之外，是否还有关于这个问题更加更新的观点。
解决方案
请注意以下操作可能存在版本差异，同时确保在执行操作前做好数据备份。
加密数据在数据安全中扮演着重要的角色。尽管静态状态下的RDS实例加密可能不是唯一的数据安全措施，但它在整体安全防御策略中具有一定的作用。以下是加密数据在真实世界中的一些优势：
防止物理访问威胁
虽然罕见，但设备被盗或失窃的情况可能会发生。如果恶意主体获取了存储着未加密敏感数据的硬盘，加密可以防止他们直接读取这些数据。这是一种防范措施，特别是对于托管在第三方数据中心或云提供商中的数据。
多层次的防御
加密在数据保护的多层次防御中扮演重要角色。即使其他安全控制出现失效，例如访问控制、身份验证和授权机制，加密依然可以为数据提供一层额外的保护。这种多层次的防御策略有助于确保即使在其他层面出现问题时，数据仍然能够保持安全。
法规和合规要求
许多行业、法规和合规标准要求对敏感数据进行加密，以满足数据保护和隐私要求。例如，HIPAA、PCI DSS等合规性标准都需要加密存储在数据库中的敏感信息。通过实施静态状态下的加密，您可以满足这些合规性要求，避免可能的罚款和法律风险。
对内部威胁的保护
不幸的是，内部威胁也是现实世界中的一部分。即使是合法用户，有时也可能滥用其权限访问敏感数据。加密可以减轻这种内部威胁，因为即使数据被访问，也需要解密才能获得可读的信息。
数据漏洞的最小化
即使其他层次的防御失败，加密也可以帮助减少数据泄露的影响。盗取的加密数据只有在解密后才能被读取，这样即使发生数据泄露，窃取者也只能获得加密数据，而无法直接获取可用信息。
总之，静态状态下的RDS实例加密虽然可能不是万能的数据保护措施，但在综合安全策略中扮演重要角色，可以提供多层次的防御，保护数据免受物理和内部威胁。此外，合规性要求也使其成为许多组织必不可少的一部分。
参考资料：
– 防御深度定义 – NIST
– 防御深度 – CISA