Archive archivos altamente sensibles en Cloud Storage utilizando un enfoque de "Trust-No-One" para que el personal del proveedor no pueda descifrarlos. ¿Qué deberías hacer?

La opción correcta garantiza que el personal del proveedor no pueda descifrar los archivos. Al cifrar cada archivo localmente con gcloud kms encrypt y una clave simétrica de Cloud KMS, se utiliza el cifrado del lado del cliente. El uso de Datos Autenticados Adicionales (AAD) únicos para cada archivo, mantenidos fuera de Google Cloud, añade una capa de seguridad crítica. Este AAD es necesario para descifrar y, al no almacenarse en Google Cloud, impide que el personal de Google acceda a los datos incluso si tuviera la clave de cifrado. Las opciones incorrectas tienen fallas de seguridad: Destruir y rotar la clave después de subir los archivos los haría irrecuperables. Almacenar la CSEK en Cloud Memorystore o en un proyecto separado dentro de Google Cloud aún expone la clave a Google, lo que anula el principio de "Trust-No-One".