ノードを増やす提案が出たとき、私たちは次の項目を順に確認します。すべてを満たす必要はありませんが、未回答の項目は例外リストへ明示的に移します。
- オーナー氏名と代理オーナーがいるか
- 障害影響半径（社内向け／顧客向け）が定義されているか
- バックアップと復旧の手順が90日以内に演習されているか
- 権限の棚卸し担当が決まっているか
- コストの月次上限と超過時の連絡先があるか
- データ分類（個人情報の有無）が記録されているか
- 依存する上流・下流システムが列挙されているか
- 廃止時の移行先が仮置きされているか
- 監視アラートの受信者が二人以上か
- ベンダーロックの評価コメントがあるか
- セキュリティレビューの日付が6ヶ月以内か
- 例外とする場合の見直し期限が入っているか
例外リストの更新
例外は「なし」が理想ではありません。多い組織ほど、四半期ごとに期限切れ例外を棚卸しできるかが健全性の指標になります。期限のない例外は、実質的な標準とみなして統治対象に戻します。