Como você trata criptografia em repouso e em trânsito em um ambiente de nuvem?

Imponha TLS moderno em cada salto, inclusive no tráfego interno entre serviços, e use certificados gerenciados para a renovação ser automática. Criptografe todo armazenamento em repouso com chaves de um serviço gerenciado de chaves, usando chaves gerenciadas por você onde precisa de controle de acesso separado, auditoria ou a capacidade de revogar. Controle o acesso por políticas de chave, habilite rotação e registre todo uso de chave. Criptografe campos sensíveis no cliente quando nem a plataforma deveria conseguir ler.

Em trânsito, TLS moderno em tudo, e eu digo tráfego interno também, não só a borda, porque supor que a rede privada é segura deixou de ser defensável faz muito tempo. Certificados gerenciados para qualquer coisa pública, para a renovação não ser uma tarefa manual que alguém esquece. Em repouso, todo armazenamento criptografado, e a escolha importante é de quem é a chave. Chaves padrão da plataforma te dão a criptografia mas quase nenhuma segregação de funções, então para qualquer coisa sensível eu uso chaves gerenciadas por mim, uma por domínio de dado, porque aí a política da chave é um controle de acesso de verdade: eu consigo dar direito de descriptografar a uma role específica, auditar todo uso da chave e revogar o acesso a um conjunto inteiro de dados mudando uma política em vez de caçar permissões. A rotação fica habilitada e os logs de uso da chave alimentam o mesmo lugar que todo o resto. Para os campos mais sensíveis, coisas como tokens ou identificadores pessoais, eu criptografo no cliente antes de serem gravados, então o serviço de armazenamento só vê texto cifrado. Isso te custa capacidade de consulta, então é deliberadamente estreito, aplicado a campos específicos em vez de a tudo.