I dati sensibili in Cloud Storage devono supportare la rotazione delle chiavi e verranno elaborati in Dataproc. Quale approccio di crittografia segue le best practice di sicurezza di Google?

L'approccio corretto prevede l'uso di Cloud KMS per generare e gestire la chiave di crittografia, associandola direttamente al bucket di Cloud Storage. Questo è noto come Customer-Managed Encryption Keys (CMEK). Google Cloud Storage gestisce automaticamente la crittografia e la decrittografia dei dati utilizzando la chiave fornita da KMS, garantendo la rotazione delle chiavi e l'integrazione con i servizi Google, come Dataproc, che possono accedere ai dati decifrati senza esporre la chiave. L'opzione di crittografare i dati usando il metodo encrypt di Cloud KMS non è ottimale per grandi volumi di dati, poiché Cloud KMS ha limiti di dimensione per i dati da crittografare direttamente. Generare una coppia di chiavi GPG o una chiave AES-256 e gestire manualmente la crittografia e la decrittografia non sfrutta i vantaggi di sicurezza e gestione offerti da Cloud KMS e CMEK, aumentando la complessità e il rischio di errori umani.