防止資料透過 Cloud VPN 連線從 BigQuery 外洩到地端部署環境；強制執行控管措施，以防範內部威脅和意外分享。

正確答案是「為專案周圍設定 VPC Service Controls，並啟用 Private Google Access」。VPC Service Controls 建立安全邊界，防止資料從 BigQuery 等受支援的 Google Cloud 服務外洩到未經授權的網路。結合 Private Google Access，它確保地端部署環境可以透過私有 IP 位址安全地存取 Google 服務，而無需經過公共網際網路。 「僅為地端部署環境設定 Private Google Access」不足以防止資料外洩，因為它只提供私有連線，但沒有強制執行資料移動的限制。 「建立服務帳戶，將 BigQuery JobUser 和 Storage Reader 角色授予該帳戶，並移除專案中的所有其他 IAM 存取權」是 IAM 的最佳實踐，但它無法防止已獲授權的使用者將資料從 BigQuery 傳輸到邊界之外。 「設定 Private Google Access」本身無法提供資料外洩防護，它僅允許私有連線。