envelope encryption
termonuvemcriptografia
Cifrar dados com uma chave de dados e então cifrar essa chave com uma chave-mestra - o trabalho pesado feito localmente, a joia da coroa guardada centralmente.
Como as nuvens cifram petabytes com chaves que nunca saem do KMS: uma chamada de API por envelope, não por byte.