合规框架调整
没有任何参考架构会自动符合 SOC 2、HIPAA、GDPR、CCPA、PCI DSS、FedRAMP 或其他框架或经过认证。客户应与合格的评估员和顾问一起确定适用的义务、数据类别、控制所有者和证据要求。约定可以将架构和实施工作映射到这些要求，但合规性结论取决于实际环境、操作、合同和证据。
数据加密和传输安全
为目标环境选择加密和密钥管理，并记录在参与的安全设计中。使用当前批准的协议和算法，在风险模型需要的地方分离信任边界，并定义密钥所有权、访问、轮换、备份和撤销。不要推断本地或气隙拓扑本身是安全的；其本地密钥和更新基础设施也需要审查和测试。
审计日志和证据
定义哪些事件需要决策记录，并根据需要捕获参与者身份、授权上下文、操作、目标、时间戳、源引用、批准、验证和结果。隐藏模型推理不是可靠的审计证据。完整性保护、保留、编辑以及导出到客户的 SIEM 或治理工具是特定于部署的控制。证据格式应与客户的控制所有者或评估员达成一致； ActiveMotion 不要求预先构建的审计报告。
访问控制和隔离
访问控制应涵盖配置、集成、策略、操作记录和部署操作。根据客户的风险模型使用范围身份和单独的职责。如果选择多租户设计，则必须针对该实施演示存储、网络、身份和计算层的隔离。特权变更的批准要求属于客户的变更流程，应进行测试。