Los datos sensibles en Cloud Storage deben admitir la rotación de claves y se procesarán en Dataproc. ¿Qué enfoque de cifrado sigue las mejores prácticas de seguridad de Google?

La mejor práctica es usar Claves de Cifrado Gestionadas por el Cliente (CMEK) con Cloud KMS. Esto permite la rotación de claves y la gestión centralizada de las mismas, cumpliendo con los requisitos de seguridad de Google. Al configurar la clave de KMS en el bucket, Cloud Storage cifrará y descifrará automáticamente los datos usando esa clave. Dataproc, al acceder a los datos en Cloud Storage, también utilizará esta configuración de cifrado sin pasos adicionales. Cifrar los datos directamente con Cloud KMS antes de subirlos (primera opción) es menos eficiente y no aprovecha la integración nativa de Cloud Storage con KMS. Usar GPG (tercera opción) o claves AES-256 proporcionadas por el cliente (cuarta opción) no ofrece la misma gestión centralizada, automatización de rotación ni integración con otros servicios de Google Cloud como CMEK.