Vous devez chiffrer toutes les données BigQuery à l'aide de clés générées et stockées uniquement sur votre HSM sur site, tout en utilisant des services gérés par Google. Quelle approche implémentez-vous ?

L'approche correcte consiste à utiliser Cloud External Key Manager (Cloud EKM). Cloud EKM permet d'utiliser des clés de chiffrement gérées dans votre HSM sur site pour chiffrer les données Google Cloud, y compris BigQuery, sans que Google n'ait jamais accès à la clé elle-même. La clé est générée et stockée sur votre HSM, et Cloud EKM agit comme un pont sécurisé. Les autres options sont incorrectes car : Importer la clé dans Cloud KMS (même si elle est générée sur site) signifie que Google KMS en aurait une copie, ce qui va à l'encontre de l'exigence que la clé reste uniquement sur votre HSM. Cloud HSM est un service Google Cloud qui gère des clés dans des HSM fournis par Google, non votre HSM sur site. Chiffrer les données lors de l'ingestion dans BigQuery avec une clé sur site n'est pas une fonctionnalité native de BigQuery pour le chiffrement au repos géré par le client avec des clés externes.