Безопасно ли хранить конфиденциальные данные в переменных окружения?
 Ведь получить переменные окружения процесса достаточно легко
Разве? Подкините мне переменных с тостера? Давно хочу в БД у них флаг is_super_super_admin. себе поставить.

На самом деле если злоумышленник уже зашёл на ваш сервер - нет никакой разницы где вы храните свои тайны. У него полный доступ к любым переменным.
Оба варианта не безопасны. В приложениях, запускающих инстанс (примерно все что не PHP) надо обязательно очищать их, предварительно сложив в память. В PHP и других языках, очищающих память по окончанию действия скрипта (на каждый запрос) - безопасности нет от слова совсем в рамках данного вопроса