Un frontend su Compute Engine accede a Cloud SQL e a un bucket Cloud Storage contenente PII. Come si proteggono le PII seguendo le best practice di Google?

La risposta corretta implementa i Controlli del servizio VPC, una best practice di sicurezza per proteggere i dati sensibili in Google Cloud. Configurare Cloud SQL con un IP privato assicura che il database non sia esposto direttamente a Internet. I Controlli del servizio VPC creano un perimetro di sicurezza attorno alle risorse (Cloud SQL e il bucket Cloud Storage), impedendo l'esfiltrazione di dati e l'accesso non autorizzato da servizi non inclusi nel perimetro. Includere entrambe le risorse nello stesso perimetro garantisce che possano comunicare in modo sicuro e che i dati PII siano protetti da un unico confine di sicurezza. Le opzioni che usano solo regole firewall o IAM sono meno complete. Le regole firewall controllano il traffico di rete ma non impediscono l'esfiltrazione di dati da un'applicazione compromessa. IAM gestisce le autorizzazioni ma non crea un perimetro di sicurezza contro l'esfiltrazione di dati. L'accesso privato per Cloud Storage è utile ma non offre lo stesso livello di protezione perimetrale dei Controlli del servizio VPC. Avere perimetri diversi per Cloud SQL e Cloud Storage non è ottimale in questo scenario, poiché le due risorse contengono dati PII e dovrebbero essere protette insieme.