ถามให้ครบ

• Database และ Files อยู่ที่ไหน ใครถือ Credential

• ผู้ให้บริการเข้าถึง Production ได้เมื่อใดและมี Audit หรือไม่

• ส่งออกข้อมูล เนื้อหา Media และ Config ได้ในรูปแบบใด

• Backup ใครเป็นเจ้าของ เข้ารหัสและทดสอบ Restore หรือไม่

• Retention, DSAR และการลบข้อมูลทำอย่างไร

• ย้าย Hosting หรือเปลี่ยนผู้ดูแลต้องได้อะไรบ้าง

ขอบเขตการควบคุม

Self-hosted ช่วยให้องค์กรควบคุม Infrastructure ได้ แต่ไม่ได้ทำให้ Compliance หรือ Security เกิดขึ้นอัตโนมัติ ต้องมีผู้รับผิดชอบ Policy, Access review, Patch, Monitoring, Backup และ Incident response

เกณฑ์ส่งต่อ

• Application package และ Version

• Database schema/migrations

• Configuration และรายการ Secrets โดยไม่ส่ง Secret ผ่านเอกสารไม่ปลอดภัย

• Uploads/Object storage

• Runbook ติดตั้ง อัปเกรด Backup Restore และ Incident

• บัญชีและสิทธิ์ที่องค์กรควบคุมเอง