Uyum çalışmalarının önemli bölümü belge üretimi sanılır. Oysa denetimde kanıt istenen kontrollerin çoğu doğrudan yazılım ekibinin sorumluluğundadır.
Kurumlarda uyum projeleri genellikle hukuk ve kalite birimleri tarafından yürütülür, yazılım ekibi sürecin sonunda "şu logları alabilir miyiz?" sorusuyla dahil olur. Bu sıralama hem projeyi geciktirir hem de denetimde kanıt üretmeyi zorlaştırır.
Erişim yönetimi
Kimin hangi veriye eriştiği sorusunun cevabı uygulama içinden verilebilmelidir. Rol bazlı yetkilendirme, yetki değişikliklerinin kaydı ve düzenli erişim gözden geçirmeleri yazılım tarafında karşılığı olan kontrollerdir.
Kayıt tutma
Kişisel veriye erişim, dışa aktarma ve silme işlemleri kayıt altına alınmalıdır. Bu kayıtların değiştirilemez olması ve saklama süresinin politikayla uyumlu olması gerekir.
Veri minimizasyonu
Test ortamlarında gerçek kişisel veri kullanmak, denetimlerde en sık karşılaşılan bulgulardan biridir. Maskeleme veya sentetik veri üretimi, geliştirme sürecine baştan eklenmelidir.
Saklama ve silme
Saklama süresi dolan verinin otomatik olarak silinmesi ya da anonimleştirilmesi gerekir. Bu, çoğu uygulamada sonradan eklenmesi en zor kontroldür; çünkü veri modeli buna göre tasarlanmamıştır.
Tedarikçi tarafı
Kullandığınız üçüncü taraf servisler de kapsam içindedir. Hangi servise hangi verinin gittiği, geliştirme ekibi tarafından güncel tutulan bir listede yer almalıdır.
Uyum çalışmasına yazılım ekibinin ilk günden katılması, denetim döneminde kanıt toplamak için harcanan süreyi belirgin biçimde kısaltır. Kontroller sonradan eklenen bir katman değil, mimarinin parçası olduğunda maliyeti de düşer.