Documenten voor hypotheekgoedkeuring in Cloud Storage mogen gedurende 5 jaar niet worden verwijderd of overschreven; wijzigingen moeten als afzonderlijke bestanden worden geüpload. Hoe dwing je dit af?

Een bewaarbeleid (retention policy) op een Cloud Storage-bucket, ingesteld op 5 jaar en vervolgens vergrendeld, voorkomt dat objecten in die bucket gedurende die periode worden verwijderd of overschreven. Dit voldoet direct aan de vereiste dat hypotheekdocumenten 5 jaar lang ongewijzigd moeten blijven en alleen als nieuwe bestanden mogen worden geüpload. Uniforme toegang op bucketniveau (uniform bucket-level access) en gedetailleerde toegangscontrole (fine-grained access control) regelen wie toegang heeft tot de objecten, niet de onveranderlijkheid ervan. Een serviceaccount met de rol Object Writer kan nieuwe bestanden uploaden, maar dit voorkomt niet het verwijderen of overschrijven van bestaande bestanden zonder een retentiebeleid. Door de klant beheerde versleutelingssleutels (CMEK) en sleutelrotatie zijn relevant voor gegevensbeveiliging en compliance, maar niet voor het afdwingen van onveranderlijkheid van objecten gedurende een specifieke periode.