Программный модуль как компонент ИС (есть вопрос) - Форум по вопросам информационной безопасности

Есть некая большая информационная система, в которой ничего "такого" не обрабатывается (т.е. такого, для обработки чего нужна обязательная сертификация и прочие радости жизни). Заказчик системы вместе с разработчиком приняли решение о том, что в этой ИС должна обеспечиваться защита, соответствующая классу 1Г для АС.
Данная ИС еще не построена/запрограммирована полностью, а разрабатывается по частям.
В рамках этой ИС разрабатывается некий чисто программный модуль.
1. Насколько справедливо требование (в ТЗ на модуль) обеспечить информационную безопасность класса «1Г» для этого модуля?
2. Насколько справедливо категорирование требований к модулю как 1Г на основе того, что вся ИС изначально была категорирована как 1Г? т.е. может ли отдельный модуль в рамках ИС иметь меньший класс защищенности, чем вся система в целом?

С одной стороны, где-то пробегала фраза, что категория всей системы не должна быть ниже категории любой ее составляющей, т.е. логично предположить, что составляющие таки могут быть разного класса. Однако, у меня свербит такая мысль, что если в ИС определенного класса будет модуль более низкого класса, то не будет ли это дырой в защите ИС?

1Г это класс АС - и поэтому классификация АС, а не категорирование и никакой категории (если это не персданные и не ГТ) нет !
Модули не класифицируются, если это не отдельные АС.
Классифицируется только АС как целое ! Если АС состоит из нескольких АС , к которым предьявлено (в вашем случае заказчиком) требования по классу 1Г значит у результирующей АС класс ниже быть не может !

Так в том то и дело, что требование 1Г предъявлено к результирующей, а сейчас вопрос в том, что к модулю тоже хотят требование 1Г, поскольку это мол часть большой системы, которая по 1Г

Что значит к модулю ?
Смотрите требования предьявляемые к классу 1Г и делайте выводы распространяются ли они на так сказать модуль !
Занизить класс или получить обоснование действий заказчика ? Обоснований нет как заказчик хочет так и делать в случае если это его информация! Если информация государства или субъекта то тут немного сложнее, нужно смотреть соответствующие требования в нормативных документах.