Evitar la exfiltración de datos de BigQuery a través de una conexión Cloud VPN a las instalaciones; aplicar controles contra amenazas internas y el uso compartido accidental.

Los Controles de servicio de VPC son la solución principal para prevenir la exfiltración de datos, ya que crean perímetros de seguridad alrededor de los recursos de Google Cloud, como BigQuery. Esto restringe el movimiento de datos fuera de estos perímetros. Habilitar el Acceso privado de Google permite que las máquinas virtuales sin direcciones IP externas accedan a los servicios de Google, lo cual es necesario para la conectividad segura desde las instalaciones a BigQuery dentro del perímetro de VPC Service Controls. Configurar solo el Acceso privado de Google no evita la exfiltración; solo permite la comunicación privada. Configurar el Acceso privado de Google solo para las instalaciones es insuficiente, ya que no establece un perímetro de seguridad. Crear una cuenta de servicio con roles específicos y eliminar otros accesos de IAM es una buena práctica de seguridad, pero no aborda directamente la exfiltración a través de una VPN o el uso compartido accidental a nivel de red.