Le chiavi crittografiche sono gestite esclusivamente in AWS KMS e sono separate fisicamente e logicamente dai dati protetti. AWS KMS si basa su un backend HSM rafforzato con certificazione FIPS 140-3 Livello 3.

Nell’operatività corrente le chiavi sono utilizzate esclusivamente da componenti di servizio AWS autorizzati. Un numero ristretto di ruoli denominati, destinati agli interventi di emergenza e all’analisi dei dati, dispone inoltre di un’autorizzazione di decrittazione, limitata a una cerchia ristretta di ingegneri; ogni utilizzo di questo tipo viene registrato e genera un allarme. Tale accesso è in corso di collocazione dietro un’approvazione esplicita caso per caso della direzione tecnica.

Tutti gli utilizzi delle chiavi sono registrati tramite CloudTrail. La rotazione automatica annuale è attivata per tutte le chiavi KMS. Le credenziali di accesso AWS vengono ruotate regolarmente secondo la policy di sicurezza, i token del database IAM scadono dopo 15 minuti.