Les clés cryptographiques sont gérées exclusivement dans AWS KMS et sont séparées physiquement et logiquement des données protégées. AWS KMS repose sur un backend HSM renforcé avec une certification FIPS 140-3 niveau 3.

En exploitation courante, seules les composantes de service AWS autorisées utilisent les clés. Un petit nombre de rôles nommés, dédiés aux interventions d’urgence et à l’analyse de données, disposent en outre d’une autorisation de déchiffrement, limitée à un cercle restreint d’ingénieurs ; chaque utilisation de ce type est journalisée et déclenche une alerte. Ces accès sont en cours de placement derrière une approbation explicite au cas par cas de la direction technique.

Toutes les utilisations des clés sont enregistrées via CloudTrail. La rotation automatique annuelle est activée pour toutes les clés KMS. Les identifiants d’accès AWS sont renouvelés régulièrement conformément à la politique de sécurité, les jetons de base de données IAM expirent après 15 minutes.