BigQuery Admin + Storage Admin

BigQuery Admin administra datasets, tabelas e jobs, incluindo export jobs para o Cloud Storage. Storage Admin controla os buckets de destino e a política de acesso deles. A exportação é um caminho de saída de dado que não passa pelos controles de coluna e linha definidos dentro do BigQuery — e o destino, sob a mesma pessoa, pode ser aberto a quem ela quiser.

Cópia de dado analítico regulado para um bucket com política própria, escapando do mascaramento de coluna e das políticas de acesso a linha definidas no dataset de origem.

• Segregar administração de BigQuery de administração de storage.
• Restringir buckets de destino de export por organization policy e por VPC Service Controls.
• Ativar Data Access logs no BigQuery e alertar sobre export jobs de datasets classificados.
• Usar column-level e row-level security e revisar quem consegue contorná-las por export.

• https://cloud.google.com/bigquery/docs/access-control
• https://cloud.google.com/vpc-service-controls/docs/overview