Je moet per-gebruiker crypto-deletion implementeren voor klantgegevens in BigQuery met behulp van native Cloud-functies (geen aangepaste encryptie bij ingestie). Wat moet je gebruiken?

De juiste optie is het implementeren van AEAD (Authenticated Encryption with Associated Data) BigQuery-functies. Dit is de enige native Cloud-functie die per-gebruiker crypto-deletion mogelijk maakt zonder aangepaste encryptie bij ingestie. Met AEAD BigQuery-functies kun je specifieke sleutels koppelen aan individuele rijen of kolommen, waardoor gerichte decryptie en encryptie mogelijk is. Dit betekent dat wanneer een gebruiker gegevensverwijdering aanvraagt, de bijbehorende encryptiesleutel kan worden vernietigd, waardoor de gegevens onherroepelijk onleesbaar worden. Het aanmaken van een CMEK in Cloud KMS en deze koppelen aan de tabel bij aanmaak (optie 2) versleutelt de hele tabel met één sleutel, wat geen per-gebruiker crypto-deletion mogelijk maakt. Het aanmaken van een CMEK en deze gebruiken om gegevens te versleutelen voordat je ze opslaat in BigQuery (optie 3) is een vorm van encryptie bij ingestie, wat expliciet is uitgesloten in de vraag. Het versleutelen van gegevens tijdens ingestie met behulp van een cryptografische bibliotheek (optie 4) is ook een vorm van aangepaste encryptie bij ingestie, wat niet voldoet aan de vereiste van native Cloud-functies.