あまり規定で縛っても作らなくなってKintoneの良さが活きてこないので、手順書より「ガイドライン」を設けるのはいかがでしょうか？

「テスト中はeveryone設定を外す」などです。

弊社はkintoneだけに特化した対応は決めてないのでセキュリティ上の問題が発生した場合の
報告ルートは通常？のトラブル時と同じ流れです。
kintone以外にもERPやアプリケーションを利用しているかと思いますので
（よくある例だと、関係ない人にExcelデータをメールで送ってしまったなど）
そちらのルールに組み込んでみてはどうでしょうか？

セキュリティ上の問題もざっくり色々あると思うのです。
対応としてはこんな感じでしょうが細かいルールはドキュメント化してないです。
・ログインID、パスワード流出によるなりすまし　→　パスワード変更
・アプリやレコードの公開範囲設定誤り　→　修正
・連携サービスの外部公開範囲設定誤り　→　修正
・その他システム起因の問題　→　高度の柔軟性を維持しつつ臨機応変に

ちなみにkintone全体のバックアップは取ってないです。
削除権限はシステム管理者以外付与していないのでリストアはない想定です。
kintone本体がこけたらどうしようもないですが…。

過去のトークにも出てきてますがこちらも参考になるかと。
https://topics.cybozu.co.jp/news/2022/07/15-18208.html