データ暗号化鍵
データそのものを暗号化する鍵。その鍵自体は、また別の鍵で暗号化される。
エンベロープ暗号化では、データはデータ暗号化鍵（DEK）で暗号化され、そのDEKがさらにHSMやKMSに保管された鍵暗号化鍵（KEK）で暗号化される。KEKのローテーションは、DEKを包み直すだけで済み、数ギガバイトのデータを再暗号化する必要がない。KEKを破棄すれば、保存されたデータは読めなくなる。
理由は実用的だ。大量のデータの暗号化は共通鍵のほうが速いが、鍵管理は一元化され、監査可能であるべきだ。よくある失敗は、両方の階層で同じ鍵を使い回すことで、これだとローテーションが高くつく。