Tu región, tus controles, tu contrato.

Todo lo anterior, más los controles de residencia, el contrato y el modelo de soporte que el departamento de compras exige antes de firmar.

SSO, roles con alcance definido y un registro de auditoría que registra cambios de configuración, no solo solicitudes.
Controles de residencia de datos: declara una región por espacio de trabajo y cada informe de cumplimiento queda sellado con ella, archivado bajo ella y denegado a cualquier lectura entre regiones. Un aislamiento más estricto se habla con ventas, no es una casilla.
Compromisos de SLA y soporte dedicado, con paquetes de frameworks ya conectados a los controles de tiempo de ejecución.

Dónde pueden residir tus datos.

Parte del tráfico no puede salir de una región, y ninguna certificación cambia eso. Declara una región por espacio de trabajo: cada informe de cumplimiento queda sellado con ella, archivado bajo ella y denegado a una lectura entre regiones. Los proveedores upstream siguen procesando las solicitudes en sus propias regiones; el informe declara ese flujo de datos en lugar de afirmar que fijamos geográficamente la inferencia. Si tus requisitos van más allá, es una conversación con ventas y no una función del plan.

Lo que exige el departamento de compras.

SSO y roles con alcance definido. Un registro de auditoría que cubre la configuración, no solo las solicitudes. Paquetes de framework ya conectados a los controles en tiempo de ejecución. Compromisos de SLA y un contacto designado en lugar de una cola de soporte.