| مكان البيانات | داخل الجهة أو في المنطقة والمزود اللذين تحددونهما. لا اتصالات خارجية من الإنتاج دون موافقة كتابية. | مخطط الشبكة وسجل تدفق البيانات |
| التحكم بالوصول | صلاحيات حسب الدور، مصادقة متعددة للمشرفين، بنية بأقل الامتيازات. | مصفوفة الصلاحيات وقائمة المشرفين |
| سجل التدقيق | كل تغيير منسوب وموقّت. قرارات الضبط تحمل اللقطة وإصدار النموذج ودرجة الثقة. | تصدير سجل غير قابل للتعديل عند الطلب |
| الاختبار الأمني | اختبار اختراق مستقل قبل الإطلاق. تُعالج النتائج ضمن العقد. | تقرير الاختبار وسجل المعالجة |
| النسخ الاحتياطي والتعافي | أهداف التعافي متفق عليها كتابيًا ومجرّبة قبل الإطلاق. | دليل التعافي من الكوارث وسجل التمرين |
| الملكية والإيداع | الكود المصدري في مستودع تملكونه من اليوم الأول. البنية التحتية ككود. | قائمة تسليم موقّعة |
| إتاحة الوصول والعربية | مستوى WCAG 2.1 AA، تخطيط من اليمين إلى اليسار يُصمم أولًا، تاريخان هجري وميلادي. | تدقيق إتاحة الوصول وشاشات ثنائية اللغة |
| الدعم | أزمنة استجابة وحل حسب الخطورة، مهندس مسمّى، تقرير شهري. | اتفاقية الدعم وتقرير مستوى الخدمة |