Формально вы имеете право использовать любой межсетевой экран, сертифицированный по заданию по безопасности, при условии, что можете показать соответствие между требованиями ЗБ и требованиями к МЭ, указанными в "Основных мероприятиях...". Независимо от того, какие каракули написаны в сертификате после слов "... и может использоваться...".
В этом случае вы строго выполните все требования законодательства используете МЭ, прошедший оценку в установленном порядке.
Все о чем вы пишите вытекает из требований к ТИПОВЫМ ИСПДн. Нет ли среди ваших ПДн данных, позволяющих отнести ИСПДн к СПЕЦИАЛЬНЫМ? В этом случае выбор СЗИ будет определяться уже на основании согласуемой со ФСТЭК модели угроз - появится шанс уйти от требований по МЭ 2 класса...
В рекомендациях также указано что нужно выполнить тяд требований по функционалу.
Этот функционал доступен в более высоких классах для МЭ. ФСТЭК при аргументации ссылается на сводную таблицу требований МЭ по РД и рекомендаций.
Что самое интересное, существует уже множество аттестованных ИСПДн К1 с МЭ 4 класса. Видимо, не все решают требования к МЭ :)
