Сертифицированные СЗИ применяют для закрытия тех или иных мер/требований.
Например, для государственных информационных систем (ГИС) такие меры указаны в Приказе №17 ФСТЭК. Вы классифицируете свою ГИС и исходя из класса защищенности, в соответствии с Приказом №17, определяете тот набор мер, которые должны быть реализованы. Далее подбираете СЗИ, которые эти меры закрывают.
Допустим, какая-нибудь сертифицированная ОС Astra Linux закрывает комплекс мер ИАФ, УПД, ОПС, ЗНИ..., в таком случае останется дособирать СЗИ, которые закрывают все остальные меры, например, дополнительно к ОС Astra Linux доустановить сертифицированный антивирус, который закрывает меры АВЗ.
И обратная ситуация, ваш вопрос в данном случае. Если вы не хотите использовать сертифицированную ОС, то используется несертифицированную ОС (лучше отечественную, т.к. ФСТЭК настаивает на импортозамещении) и дополнительно к ней доустанавливаете СЗИ от НСД, антивирусную защиту и прочее, что требуется для закрытия мер по Приказу 17 (для случая с ГИС).
