鍵暗号化鍵（KEK）
他の鍵を暗号化することだけが役目の鍵。ハードウェアで守るべきものを、この一つに絞れる。
鍵暗号化鍵（KEK）は、データ暗号化鍵（DEK）をディスクに保存したりネットワークで送ったりする前にラップ（包んで暗号化）する。守るべき秘密の数は少ないままだ。KEKはHSMに置き、ラップされた数千のDEKは、それが開けるデータのすぐ隣でデータベースに保存できる。
ローテーションも楽になる。KEKを替えれば、再ラップが必要なのは鍵だけで、データ全体ではない。代償は、KEKを握った者がその配下のすべてを握ることだ。そのため実際のシステムは何段にも重ねる構成が多く、鍵階層が独立した項目に値する理由もそこにある。