Sie müssen eine kryptografische Löschung pro Benutzer für Kundendaten in BigQuery mithilfe nativer Cloud-Funktionen implementieren (keine benutzerdefinierte Verschlüsselung bei der Aufnahme). Was sollten Sie verwenden?

Die Implementierung von AEAD (Authenticated Encryption with Associated Data) BigQuery-Funktionen ist die korrekte Methode, da sie eine kryptografische Löschung pro Benutzer direkt in BigQuery ermöglicht, ohne dass Daten vor der Speicherung verschlüsselt werden müssen. Dies erfüllt die Anforderung, native Cloud-Funktionen zu nutzen und keine benutzerdefinierte Verschlüsselung bei der Aufnahme zu verwenden. Die Verwendung eines kundenverwalteten Verschlüsselungsschlüssels (CMEK) in Cloud KMS bei der Tabellenerstellung verschlüsselt die gesamte Tabelle, nicht pro Benutzer, und unterstützt keine kryptografische Löschung auf dieser Granularität. CMEK vor der Speicherung zu verwenden, würde eine Verschlüsselung vor der Aufnahme bedeuten, was ausgeschlossen ist. Das Verschlüsseln von Daten während der Aufnahme in der ETL-Pipeline ist ebenfalls eine benutzerdefinierte Verschlüsselung vor der Aufnahme und verstößt gegen die Vorgabe.