Evitar a exfiltração de dados do BigQuery por meio de uma conexão Cloud VPN para o ambiente on-premises; impor controles contra ameaças internas e compartilhamento acidental.

A opção correta é configurar o VPC Service Controls para o perímetro do projeto e habilitar o Private Google Access. O VPC Service Controls cria perímetros de segurança em torno dos recursos do Google Cloud, como o BigQuery, e impede a exfiltração de dados ao restringir o acesso a esses recursos apenas a redes autorizadas, mesmo que as credenciais sejam comprometidas. Habilitar o Private Google Access permite que VMs em sub-redes sem IPs externos acessem APIs e serviços do Google, como o BigQuery, de forma privada e segura, sem expor o tráfego à internet pública. Configurar o Private Google Access somente para o ambiente on-premises não impede a exfiltração de dados do BigQuery, pois não estabelece um perímetro de segurança. Criar uma conta de serviço com funções específicas e remover outro acesso IAM é uma boa prática de segurança, mas não oferece a proteção contra exfiltração que o VPC Service Controls proporciona. Configurar apenas o Private Google Access permite acesso privado, mas não impõe os controles de perímetro necessários para evitar a exfiltração.