12.2 قوائم التحقق

قوائم التحقق هذه مراجع سريعة عملية وجاهزة للاستخدام. انسخ أي قائمة تحقق لقالب طلب سحب، أو صفحة ويكي، أو تذكرة، أو جدول أعمال اجتماع مراجعة، وكيّف العناصر لسياقك. عامل كل عنصر كشيء يستطيع شخص التحقق منه والإجابة عنه بنعم أو لا. قائمة التحقق عون ذاكرة ومعيار مشترك، لا بديل عن الحكم؛ احذف العناصر التي لا تنطبق وأضف عناصر يتطلبها مجالك.

إرشاد لاستخدامها جيدًا:

• أبقِ قوائم التحقق قصيرة بما يكفي بحيث يكملها الناس فعليًا. إن كانت قائمة تحقق تُتخطَّى روتينيًا، إنها طويلة جدًا أو عامة جدًا.
• أتمِت أي عنصر تستطيع آلة التحقق منه (التنسيق، والاختبارات، والفحوصات) بحيث ينفق البشر انتباههم على عناصر الحكم.
• حدد إصدار قوائم تحققك وراجعها دوريًا. قائمة تحقق لا تتغير أبدًا على الأرجح لا تُستخدَم.
• ميّز العناصر الحاجبة عن العناصر الاستشارية حين يهم التمييز لعمليتك.

قائمة تحقق مراجعة الشيفرة

للمراجع الذي يفحص تغيير شخص آخر.

• يفعل التغيير ما يقوله وصفه وتذكرته المرتبطة.
• النطاق مركّز على اهتمام منطقي واحد؛ التغييرات غير ذات الصلة مُقسَّمة خارجًا.
• يناسب التصميم الهندسة المعمارية الموجودة ولا يُدخِل اقترانًا يمكن تجنبه بسهولة أكبر.
• تُعالَج حالات الحافّة، ومسارات الخطأ، وأنماط الفشل، لا المسار السعيد فقط.
• توجد اختبارات، ذات معنى، وستفشل لو تراجع السلوك.
• يجعل التسمية، والبنية، والتعليقات الشيفرة مفهومة لقارئ مستقبلي.
• لا أسرار، أو بيانات اعتماد، أو رموز، أو بيانات شخصية مُلتَزَمة.
• يُتحقَّق من المُدخَل الحساس للأمان، أو يُرمَّز، أو يُحدَّد بمعامِلات بشكل مناسب.
• الواجهات العامة، والعقود، والتوافق الخلفي مُصانة أو مُدارة الإصدار بتعمُّد.
• التسجيل، والمقاييس، وتقرير الأخطاء كافية لتشغيل التغيير في الإنتاج.
• التوثيق، وكتيبات التشغيل، والتهيئة مُحدَّثة لتطابق التغيير.
• التغذية الراجعة مفصولة لقضايا حاجبة مقابل اقتراحات، ومصاغة حول الشيفرة.

قائمة تحقق مؤلف طلب السحب

للمؤلف قبل طلب المراجعة.

• طلب السحب صغير ومركّز بما يكفي للمراجعة بعناية في جلسة واحدة.
• يذكر الوصف ماذا تغيّر، ولماذا، وكيف تحقق منه.
• تعطي التذكرة، أو القضية، أو مستند التصميم المرتبط المراجعين السياق الضروري.
• كل الفحوصات الآلية تنجح محليًا أو في CI (بناء، وفحص أسلوب، وتنسيق، واختبارات، وفحوصات).
• السلوك الجديد والمتغير مُغطَّى باختبارات.
• إعادة الهيكلة الميكانيكية مفصولة عن تغييرات السلوك.
• المراجعة الذاتية مُكتمَلة: قرأت فرقك الخاص سطرًا بسطر.
• لا شيفرة تصحيح، أو كتل مُعلَّقة، أو أسرار، أو ملفات ضالة متبقية.
• ترحيلات قاعدة البيانات، وأعلام الميزات، وتغييرات التهيئة موثَّقة وقابلة للعكس.
• التغييرات الكاسرة مُشار إليها صراحة بمسار ترحيل.
• لقطات شاشة، أو تسجيلات، أو مخرج عينة مُضمَّنة حيث تساعد المراجعة.
• المراجعون الصحيحون وأي مُوافِقين مطلوبين قائمين على الدور مطلوبون.

تعريف المُنجَز

المعيار المشترك الذي يجب أن يلبيه عنصر عمل قبل اعتباره مُكتمَلًا.

• معايير القبول في التذكرة كلها مُلبَّاة وقابلة للإظهار.
• الشيفرة مُراجَعة من النظراء ومُوافَق عليها من المراجعين المطلوبين.
• الاختبارات الآلية مكتوبة، وناجحة، ومدمجة مع التغيير.
• الشيفرة مدمجة للفرع الرئيسي وتُنشَر بنظافة عبر خط الأنابيب.
• لا عيوب معروفة من عتبة الحدة المتفَق عليها لا تزال مفتوحة.
• التوثيق، ونص المساعدة، وكتيبات التشغيل مُحدَّثة.
• المراقبة قائمة: توجد سجلات، ومقاييس، وتنبيهات ذات صلة.
• اعتُبِرت وعُولِجت آثار الأمان والخصوصية.
• متطلبات إمكانية الوصول للتغيير مُلبَّاة حيث مواجه للمستخدم.
• أعلام الميزات مُهيَّأة وخطة النشر متفَق عليها.
• قبل مالك المنتج أو صاحب المصلحة النتيجة.
• أي عمل متابعة مُلتقَط كتذاكر متتبَّعة، لا مترك ضمنيًا.

جاهزية إطلاق الإنتاج / الانطلاق الحي

قبل شحن تغيير مهم أو خدمة جديدة للإنتاج.

• خطة النشر موثَّقة، متضمنة خطوات مرحلية أو قناة ومعايير نجاح.
• خطة التراجع موثَّقة، ومُختبَرة، وقابلة للتنفيذ بسرعة.
• يُظهر اختبار السعة والحمل أن النظام يلبي الطلب المتوقَّع وذروته.
• المراقبة، ولوحات المعلومات، والتنبيهات حية ومُتحقَّق منها قبل الإطلاق.
• تغطية المناوبة مُجدوَلة ويعرف المستجيبون النظام.
• توجد كتيبات تشغيل لسيناريوهات الفشل والتشغيل الأكثر احتمالًا.
• التبعيات، والتكاملات، والأطراف الثالثة مؤكَّدة جاهزة وحدود المعدل مفهومة.
• مراجعة الأمان والموافقات المطلوبة مُكتمَلة.
• ترحيل البيانات، إن وُجد، مُختبَر من طرف لطرف بتراجع مُتحقَّق منه.
• تتيح أعلام الميزات تعطيل التغيير بلا إعادة نشر.
• موافقات قانونية، وخصوصية، وامتثال مُحصَّلة حيث تُطلَب.
• خطة تواصل تغطي أصحاب المصلحة، والدعم، والعملاء.
• قرار مضي/توقف مُتَّخَذ من ملاك مسمّين مقابل معايير صريحة.

قائمة تحقق مراجعة الأمان / نمذجة التهديد

لتقييم موقف الأمان لتغيير أو نظام.

• حدود الثقة وتدفقات البيانات محددة وموثَّقة.
• المصادقة مفروضة على كل نقطة دخول تتطلبها.
• فحوصات التفويض تفرض أقل امتياز لكل فعل ومورد.
• كل مُدخَل خارجي مُتحقَّق منه، والمخرج مُرمَّز لمصبه.
• الأسرار مخزَّنة في خزنة مُدارة، أبدًا في الشيفرة أو التهيئة، وقابلة للتدوير.
• البيانات مشفَّرة أثناء النقل وفي حالة السكون كما يتطلب التصنيف.
• التبعيات مفحوصة بحثًا عن ثغرات معروفة ومُبقاة حديثة.
• مخاطر الحقن، وإلغاء التسلسل، وSSRF مخفَّفة للمُدخَل غير الموثوق.
• الأحداث ذات الصلة بالأمان مُسجَّلة بلا تسجيل بيانات حساسة.
• تحديد المعدل، والحصص، وحماية إساءة الاستخدام تحرس نقاط النهاية المعرَّضة.
• رسائل الخطأ لا تسرّب تتبعات مكدس، أو داخليات، أو تفاصيل حساسة.
• التهديدات المحدَّدة عبر STRIDE أو مشابه مُسجَّلة بتخفيفات أو مخاطرة مقبولة.
• اختبار الأمان (SAST، أو DAST، أو اختبار اختراق) مُخطَّط له أو مُكتمَل.

قائمة تحقق الخصوصية وحماية البيانات (بنمط DPIA)

للمعالجة التي تشمل بيانات شخصية أو حساسة.

• البيانات الشخصية المُجمَّعة مجرودة، ومصنَّفة، ومُصغَّرة لما يُحتاج.
• الأساس القانوني أو السلطة لكل غرض معالجة موثَّق.
• تحديد الغرض مفروض: تُستخدَم البيانات فقط للأغراض المذكورة.
• فترات الاحتفاظ مُعرَّفة والحذف أو إخفاء الهوية مُؤتمَت.
• حقوق صاحب البيانات (الوصول، والتصحيح، والحذف، والنقل) يمكن تلبيتها.
• الموافقة، حيث يُعتمَد عليها، حرة، ومحددة، وقابلة للسحب.
• الأطراف الثالثة والمعالجون مُقيَّدون بشروط حماية بيانات كافية.
• للنقل عبر الحدود آلية نقل قانونية مناسبة.
• الوصول للبيانات الشخصية مقيَّد، ومُسجَّل، ومُراجَع.
• مخاطر الخصوصية للأفراد مُقيَّمة ومخفَّفة أو مُصعَّدة.
• عمليات كشف والإبلاغ عن خرق بيانات مُعرَّفة.
• الخصوصية بالتصميم وخيارات الافتراض موثَّقة للميزة.
• وافق مسؤول حماية البيانات أو مراجع الخصوصية حيث يُطلَب.

قائمة تحقق إمكانية الوصول (WCAG)

للواجهات المواجهة للمستخدم، متوائمة مع مبادئ WCAG.

• كل المحتوى قابل للوصول والتشغيل باستخدام لوحة المفاتيح فقط.
• ترتيب التركيز منطقي ومؤشر تركيز مرئي موجود.
• تباين لون النص يلبي النسبة الهدف (عادة 4.5:1 لنص الجسم).
• للصور والمحتوى غير النصي نص بديل ذو معنى.
• لحقول النموذج تسميات مرتبطة ورسائل خطأ واضحة.
• العناوين، والمعالم، والبنية مُوسَّمة دلاليًا.
• المكونات التفاعلية تكشف اسمًا، ودورًا، وحالة صحيحة للتقنية المساعِدة.
• يُعاد تدفق المحتوى ويبقى قابلًا للاستخدام عند تكبير 200٪ وعلى شاشات صغيرة.
• الحدود الزمنية قابلة للتعديل، ويمكن إيقاف محتوى الحركة أو التشغيل التلقائي مؤقتًا.
• اللون ليس الوسيلة الوحيدة لنقل المعلومات.
• للوسائط تعليقات توضيحية و، حيث يُحتاج، نصوص أو وصف صوتي.
• تُختبَر الواجهة بقارئ شاشة وأدوات إمكانية وصول آلية.

قائمة تحقق مراجعة تصميم واجهة برمجة التطبيقات

قبل نشر أو تغيير واجهة برمجة تطبيقات.

• تسمية الموارد والعمليات متسقة ومتوقَّعة.
• العقد محدَّد بمخطط قابل للقراءة الآلية (مثلًا OpenAPI).
• استراتيجية الإصدار مُعرَّفة والتوافق الخلفي مُصان أو مُدار.
• الترقيم، والتصفية، والترتيب تتبع أعرافًا متسقة.
• استجابات الخطأ تستخدم بنية، ورموزًا، ورسائل قابلة للتصرف متسقة.
• المصادقة والتفويض محدَّدان لكل عملية.
• التحقق من صحة المُدخَل وحدود الحجم مُعرَّفة ومفروضة.
• اللاإحداثية مُعرَّفة للعمليات حيث تُتوقَّع إعادات المحاولة.
• حدود المعدل، والحصص، وسلوك الخنق موثَّقة.
• مهلات الانتظار، وإعادات المحاولة، ودلالات الفشل واضحة للعملاء.
• كشف البيانات الحساسة في الاستجابات مُصغَّر ومُبرَّر.
• يتضمن التوثيق أمثلة لكل عملية وحالة خطأ.
• سياسة الإهمال وأطر زمنية الإيقاف مُعرَّفة.

قائمة تحقق مراجعة قرار الهندسة المعمارية (ADR)

لمراجعة سجل قرار هندسة معمارية مقترح.

• السياق والمشكلة المُحلَّة مذكوران بوضوح.
• القرار مذكور بلا غموض كخيار واحد.
• اعتُبِر وقُورِن بديلان واقعيان على الأقل.
• العواقب، الإيجابية والسلبية، موثَّقة.
• الآثار غير الوظيفية (الأداء، والأمان، والتكلفة، وقابلية التشغيل) مُعالَجة.
• يتوائم القرار مع المبادئ الموجودة وADRs السابقة، أو يحل محلها صراحة.
• استُشيرت الفرق وأصحاب المصلحة المتأثرون.
• قابلية العكس وتكلفة التغيير مُقيَّمتان.
• الافتراضات والقيود صريحة.
• الحالة (مقترَح، ومقبول، ومُستبدَل) محدَّدة ومؤرَّخة.
• القرار قابل للاكتشاف ومرتبط من الأنظمة ذات الصلة.
• أي إجراءات متابعة أو ترحيلات مُلتقَطة كعمل متتبَّع.

قائمة تحقق الاستجابة للحوادث

خلال حادث إنتاج نشط.

• أعلن الحادث وعيّن قائد حادث واحدًا.
• قيّم وتواصل بالحدة، والنطاق، وأثر العميل.
• افتح قناة تواصل مخصصة وسجل حادث.
• عيّن أدوارًا واضحة: قائد، وقائد تواصل، وقائد عمليات.
• رتّب الأولوية للتخفيف واستعادة الخدمة فوق تحليل السبب الجذري.
• انشر تحديثات حالة منتظمة لأصحاب المصلحة بوتيرة محددة.
• التقط جدولًا زمنيًا للأحداث، والأفعال، والقرارات وقت حدوثها.
• صعّد لمستجيبين أو موردين إضافيين عند الحاجة.
• أبلِغ القانون، والأمان، والامتثال إن شملت بيانات أو تنظيم.
• تحقق من الإصلاح وأكّد تعافي النظام كليًا.
• أغلق الحادث رسميًا وتواصل بالحل.
• جدول ما بعد الوفاة بلا لوم قبل أن يتفرق الناس.

قائمة تحقق ما بعد الوفاة

للمراجعة الاستعادية بعد حادث.

• المراجعة بلا لوم وتركّز على الأنظمة والعوامل المساهمة.
• جدول زمني وقائعي ومُختوم بالوقت للحادث موثَّق.
• أثر العميل والأعمال محدَّد كميًا (المدة، والنطاق، والتكلفة).
• الكشف مُحلَّل: كيف ومتى لُوحِظت المشكلة.
• الاستجابة مُحلَّلة: ماذا ساعد وماذا أبطأ الاستعادة.
• الأسباب المساهمة محدَّدة، لا سبب جذري واحد فقط.
• ما نجح مُسجَّل، وكذلك ما أخطأ.
• عناصر الفعل محددة، ومُعيَّنة لمُلاك، ولها تواريخ استحقاق.
• تعالج عناصر الفعل الوقاية، والكشف، والتخفيف.
• عناصر المتابعة متتبَّعة للإكمال في المتراكم العادي.
• ما بعد الوفاة مُشارَك على نطاق واسع بحيث يستطيع آخرون التعلم منه.
• الأنماط المنهجية عبر الحوادث تُراجَع دوريًا.

قائمة تحقق جاهزية المناوبة

قبل أن يتولى أحد وردية مناوبة.

• للمستجيب وصول لكل الأنظمة، ولوحات المعلومات، والأدوات التي يحتاجها.
• يصل التنبيه للمستجيب بموثوقية ومُختبَر.
• مسارات التصعيد وجهات اتصال المناوبة الثانوية معروفة وحالية.
• توجد كتيبات تشغيل لأكثر التنبيهات شيوعًا وحدة.
• أكمل المستجيب الإلحاق أو المتابعة لهذه الأنظمة.
• التغييرات الحديثة، والحوادث الجارية، والمشاكل المعروفة مُسلَّمة.
• عتبات التنبيه مضبوطة لتقليل الضوضاء والاستدعاءات الزائفة.
• يعرف المستجيب كيف يعلن حادثًا ويصل للقائد.
• الوصول للإنتاج ممكن من بيئة عمل المستجيب.
• قنوات التواصل وجهات اتصال أصحاب المصلحة موثَّقة.
• جدول المناوبة منشور والتغطية بلا فجوات.
• التعويض، والتوقعات، وحدود عبء العمل للمناوبة واضحة.

قائمة تحقق تعريف SLO

عند تعريف هدف مستوى خدمة.

• رحلة المستخدم أو القدرة التي يحميها SLO محددة بوضوح.
• مؤشرات مستوى الخدمة (SLIs) مُعرَّفة ككميات واضحة وقابلة للقياس.
• تُقاس SLIs من منظور المستخدم حيثما أمكن.
• هدف الهدف مُحدَّد عند مستوى يحتاجه المستخدمون فعليًا، لا 100٪.
• نافذة القياس (مثلًا 28 يومًا متدحرجة) محددة.
• ميزانية الخطأ المُشتقَّة من الهدف محسوبة ومفهومة.
• سياسة تعرّف ماذا يحدث حين تُستنفَد ميزانية الخطأ.
• مصادر بيانات SLIs موثوقة ومُقاسة.
• التنبيه مربوط بمعدل الاحتراق، لا خروقات العتبة فقط.
• يتفق الملاك وأصحاب المصلحة أن SLO واقعي وذو معنى.
• SLO موثَّق ومرئي على لوحة معلومات.
• يوجد جدول لمراجعة وتنقيح SLOs مع تطور الخدمة.

قائمة تحقق خط أنابيب CI/CD

لخط أنابيب تكامل وتسليم مستمر.

• كل التزام يُطلِق بناءً وتشغيل اختبار آليين.
• يفشل خط الأنابيب بسرعة ويبلّغ النتائج بوضوح للمؤلفين.
• فحص الأسلوب، والتنسيق، والتحليل الثابت تعمل آليًا.
• اختبارات الوحدة، والتكامل، وطرف لطرف ذات الصلة تعمل في خط الأنابيب.
• فحص الأمان والتبعيات يعمل على كل بناء.
• آثار البناء مُدارة الإصدار، وغير قابلة للتغيير، ومخزَّنة في سجل.
• الأسرار مُدخَلة بأمان ولا تُطبَع أبدًا في السجلات.
• عمليات النشر آلية وقابلة للتكرار عبر البيئات.
• استراتيجية النشر (قناة، وأزرق-أخضر، ومتدحرج) محددة ومُستخدَمة.
• التراجع آلي أو فعل واحد موثَّق.
• أذونات خط الأنابيب تتبع أقل امتياز وقابلة للتدقيق.
• تهيئة خط الأنابيب مخزَّنة في التحكم بالإصدار كشيفرة.
• منشأ البناء وقائمة مواد برمجية تُنتَج حيث تُطلَب.

قائمة تحقق مراجعة البنية التحتية كشيفرة

لمراجعة بنية تحتية مُعرَّفة كشيفرة.

• التغييرات مُعبَّر عنها كليًا بالشيفرة ومُطبَّقة عبر خط الأنابيب.
• تُراجَع خطة أو مخرج تشغيل جاف قبل التطبيق.
• الحالة مخزَّنة بأمان مع قفل لمنع تغييرات متزامنة.
• تتبع الموارد أعراف تسمية، ووسم، وملكية.
• تُستخدَم أدوار وسياسات IAM أقل امتياز، بلا بطاقات شاملة حيث يمكن تجنبها.
• التعرض الشبكي مُصغَّر؛ لا وصول عام غير مقصود.
• الأسرار والقيم الحساسة مُشار إليها من خزنة، لا مُثبَّتة بالشيفرة.
• التشفير مُفعَّل للتخزين، وقواعد البيانات، والنقل.
• التغييرات لاإحداثية وآمنة لإعادة التطبيق.
• نطاق الانفجار مفهوم؛ التغييرات المدمِّرة مُشار إليها.
• يُعتبَر أثر تكلفة التغيير.
• الوحدات قابلة لإعادة الاستخدام، ومُدارة الإصدار، ومُختبَرة.
• كشف الانجراف قائم لالتقاط تغييرات خارج النطاق.

قائمة تحقق إصدار نموذج الذكاء الاصطناعي/التعلم الآلي

قبل إصدار نموذج تعلم آلي للإنتاج.

• الاستخدام المقصود للنموذج، ونطاقه، وقيوده موثَّقة.
• منشأ بيانات التدريب والتقييم، والترخيص، والموافقة مُتحقَّق منها.
• البيانات والنموذج مُدارا الإصدار وقابلان للتكرار.
• الأداء مُقيَّم على بيانات اختبار مُحتجَزة وتمثيلية.
• العدالة والتحيز مُقيَّمان عبر المجموعات الفرعية ذات الصلة.
• النموذج مُقيَّم مقابل الحالي أو خط أساس.
• أنماط الفشل، وحالات الحافّة، والسلوك خارج التوزيع مفهومة.
• مخاطر السلامة، وسوء الاستخدام، والمخرج الضار مُقيَّمة ومخفَّفة.
• المراقبة للانجراف، وجودة البيانات، وتدهور الأداء قائمة.
• يوجد تراجع أو احتياط لنموذج سابق أو مسار قائم على القواعد.
• يُقدَّم إشراف بشري أو استئناف للقرارات ذات العواقب.
• تغطي مراجعة الخصوصية بيانات التدريب ومُدخَلات ومخرجات الاستدلال.
• بطاقة نموذج أو توثيق مكافئ منشور لأصحاب المصلحة.

قائمة تحقق جودة خط أنابيب البيانات

لخط أنابيب بيانات يغذي التحليلات أو المنتجات.

• مخططات بيانات المصدر مُتحقَّق منها وتُكتشَف تغييرات المخطط.
• يعالج الاستيعاب السجلات المتأخرة، والمكررة، وخارج الترتيب بشكل صحيح.
• فحوصات جودة البيانات (الاكتمال، والتفرد، والنطاقات) تعمل آليًا.
• السجلات الفاشلة مُحجَّرة ومُظهَرة، لا مُسقَطة بصمت.
• التحويلات مُختبَرة بمُدخَلات تمثيلية وحالات حافّة.
• خط الأنابيب لاإحداثي وآمن لإعادة التشغيل بعد الفشل.
• نضارة وكمون المخرجات مُراقَبان مقابل التوقعات.
• النسب موثَّق بحيث يعرف المستهلكون من أين تأتي البيانات.
• البيانات الشخصية والحساسة مصنَّفة، أو مُقنَّعة، أو مقيَّدة بشكل مناسب.
• الاستكمال الخلفي وإعادة المعالجة مدعومان وموثَّقان.
• التنبيه يُبلِّغ الملاك بالإخفاقات وخروقات الجودة.
• سياسات الاحتفاظ والحذف مفروضة على البيانات المخزَّنة.
• المستهلكون أسفل المجرى وSLAs موثَّقون.

قائمة تحقق استيعاب المصدر المفتوح ومراجعة الترخيص

قبل تبني مكون مصدر مفتوح.

• رخصة المكون محددة وموجودة في القائمة المعتمَدة.
• التزامات الرخصة (الإسناد، والرخصة النسخية، والإشعارات) مفهومة ومُلبَّاة.
• توافق الرخصة مع نموذج توزيعك مؤكَّد.
• المشروع مُصان فعليًا وله مجتمع صحي.
• الثغرات المعروفة مُتحقَّق منها والإصدار حديث.
• التبعية وتبعياتها الانتقالية مجرودة.
• موقف الأمان وتاريخ الحوادث الماضية مُراجَعان.
• يسد المكون حاجة حقيقية بلا تكرار كبير.
• تُعتبَر تكلفة الخروج وقابلية استبدال المكون.
• المكون مُسجَّل في قائمة مواد البرمجية.
• مالك مسمّى مسؤول عن تتبع التحديثات والنشرات.
• تُتبَع سياسات المساهمة بالعودة والتفريع الداخلي إن عُدِّل.

قائمة تحقق مخاطرة المورّد / الطرف الثالث

قبل إلحاق مورّد أو خدمة خارجية.

• الحاجة التجارية والبيانات التي سيصل إليها المورّد مُعرَّفة بوضوح.
• موقف أمان المورّد مُقيَّم (شهادات، وتدقيقات، واستبيان).
• شروط معالجة البيانات، والملكية، والحذف عند الخروج واضحة تعاقديًا.
• معالجو المورّد الفرعيون ومواقع البيانات مُفصَح عنها ومقبولة.
• الامتثال للتنظيمات ذات الصلة مُتحقَّق منه.
• وقت التشغيل، والدعم، والتزامات SLA موثَّقة.
• التزامات وأطر زمنية إخطار الخرق في العقد.
• الوصول محدود بأقل امتياز وقابل للإلغاء.
• استمرارية الأعمال وأثر فشل المورّد مُقيَّمان.
• توجد خطة خروج وترحيل بيانات لتجنب الارتهان.
• التكاليف، وشروط التجديد، وبنود تغيير السعر مفهومة.
• المورّد مُضاف لسجل المخاطرة بتاريخ مراجعة.

قائمة تحقق جاهزية الامتثال الحكومي (بنمط ATO / FedRAMP)

للأنظمة التي تتطلب تفويضًا رسميًا للتشغيل.

• حد النظام وتدفقات البيانات مُعرَّفة ومُخطَّطة.
• البيانات مصنَّفة بمستوى الأثر والحساسية.
• خط أساس الضوابط المنطبق مُختار ومُكيَّف.
• تُوثِّق خطة أمان نظام كيف يُنفَّذ كل ضابط.
• الضوابط مُنفَّذة، ومُثبَتة، ومُخرَّطة للخطة.
• المراقبة المستمرة وفحص الثغرات تعملان.
• تتبّع خطة عمل ومعالم النتائج المفتوحة للمعالجة.
• التحكم بالوصول، وتسجيل التدقيق، وإدارة الهوية تلبي المتطلبات.
• يستخدم التشفير خوارزميات معتمَدة ووحدات مُتحقَّق منها.
• خطة استجابة حادث موثَّقة ومُختبَرة.
• خطة طوارئ وتعافٍ من كوارث موثَّقة ومُختبَرة.
• تقييم أو تدقيق مستقل للضوابط مُكتمَل.
• يملك المسؤول المُفوِّض تقييم المخاطرة اللازم لمنح التفويض.
• مُطلِقات إعادة التفويض ووتيرة التفويض المستمر مُعرَّفة.