Sua região, seus controles, seu contrato.

Tudo acima, mais os controles de residência, o contrato e o modelo de suporte que a área de compras exige antes de assinar.

SSO, funções com escopo definido e um log de auditoria que registra alterações de configuração, não apenas requisições.
Controles de residência de dados que declaram uma região para o espaço de trabalho e particionam as evidências para ela. Isolamento mais rigoroso é uma conversa com o setor comercial, não uma caixa de seleção.
Compromissos de SLA e suporte dedicado, com pacotes de framework já integrados aos controles de runtime.

Onde seus dados podem ficar.

Alguns tráfegos não podem sair de uma região, e nenhuma certificação muda isso. Declare uma região por espaço de trabalho e as evidências serão carimbadas com ela, particionadas para ela e retidas em leituras entre regiões. O que não se afirma é inferência geograficamente fixada — os provedores upstream processam as requisições em suas próprias regiões, e o relatório deixa isso claro. Se seus requisitos forem além disso, é uma conversa com o setor comercial, não um recurso de plano.

O que o setor de compras exige.

SSO e funções com escopo definido. Um log de auditoria que cobre a configuração, não apenas as requisições. Pacotes de framework já integrados aos controles de runtime. Compromissos de SLA e um contato nominado — não uma fila de suporte.