Аттестация ГИС при создании по ПП 676 - Форум по вопросам информационной безопасности

Добрый день! Коллеги, помогите разобраться с вопросом.
Вызывает сложность пошаговая реализация аттестации и оформление документации при создании ГИСа с нуля.
Ранее имела опыт только с переаттестацией ГИС. Тут как бы понятно, ГИС действующая, базы данных горячие все и в документации состав этого ГИСа понятен.
А тут для ГИСа с нуля собираются сервера, СЗИ и т.п. Рабочую ГИС на сервера не перенесут пока не будет аттестации на соответствие требованиям безопасности.
Как я понимаю нужно на сервера залить тестовую БД ГИСа, провести аттестационные испытания, и вот далее и случился "затык". В документации оформляется состав ИС то, что имеется на момент аттестации? А как действовать далее, когда рабочая ГИС будет переноситься на это оборудование? Переаттестовывать, т.к. состав ГИС меняться будет (как минимум перечень БД увеличится)?

Картинка вырисовывается в духе постмодернистов - очертания вроде бы корректные, но уж больно кривые...
Ни один нормативный документ не требует фиксировать и, соответственно, проверять полную неизменность базы данных непосредственно (структуры, полей, самих данных). Да это и глупо в конце концов. Вот софт, железо, набор мер защиты и т.д. - другое дело...
И ГИС - это не только и не столько прикладное программное обеспечение + база данных...
Короче, для "ГИС с нуля" добейтесь состояния, при котором "боевые" железо (его размещение), софт (от BIOS до прикладных утилит и интерфейсов), средства защиты информации, обвязка организационных мер и действий и проч. будут "готовы" к вводу в действие "боевых" данных (и результаты предварительной/тестовой эксплуатации такой ГИС положительные). Вот это состояние анализируйте и аттестуйте...
Плюс, модуль экстрасенсорики подсказывает, что под "аттестацией" имеются в виду все работы "под ключ". Так вот в соседней теме этого форума уже приводил этапы работ по обеспечению безопасности почти любых объектов информатизации (информ.системы и, как следствие, ГИС, в их числе). И аттестация как непосредственно "аттестационные испытания" там один из последних. Т.е. полная необходимая документация, характеризующая ГИС и ее систему безопасности, должна быть подготовлена как минимум за 1 этап до аттестации ГИС...

Очень сильно сомневаюсь, что кто то хоть когда-то описывает структуру, а тем более наполнение БД в сфере ИБ. Это отрасль каких то аналитиков баз данных и не имеет отношения к аттестации.

Сильно заморачиваетесь.

1. Делайте тестовый контур (аналогный проду). Его аттестуйте. После этого переносите продакт туда.

2. Если сейчас все работает без аттестации, то что мешает сразу все сделать на боевой машине?