O Cloud HSM é um serviço gerenciado da AWS por meio do qual o cliente consegue criar e gerenciar suas chaves de maneira facilitada. Na linha serverless, essa solução também diminui a carga operacional do cliente, liberando-o para outras atividades estratégicas de negócio.
Apesar de não ser obrigatório pelo BACEN, O HSM é recomendado e, inclusive, já é uma aposta de grandes instituições financeiras. O serviço, na verdade, é um Cluster de HSM, onde cada HSM que é posto nesse cluster suporta até 1100 transações por segundo. Outra vantagem é que o HSM já possui formas de integrações padrões de mercado, como com Microsoft CNG, Java Cryptography Extension e TKCS11.
O KMS também é um serviço gerenciado para operação com chaves criptográficas, no entanto, possui algumas particularidades. Um exemplo, é a impossibilidade de exportar chave privada, o que, por outro lado, é ótimo para questões de segurança. O serviço permite executar operações de assinatura digital usando partes de chaves assimétricas para garantir a integridade dos dados.