Удостоверяющий центр в госконторе - Форум по вопросам информационной безопасности

"Некто, дадите мастер-класс?"
Дам. Оплатите моё время?
Нет?
Тогда читайте НПА. И будет вам щассьте!

А вот как вы классифицируете AD CS?
Да хоть "настройка программного обеспечения", полноценного проекта не будет.
Аутентификация по сертификатам нужна для собственного спокойствия, а не для выполнения требований законодательства по ИБ.

Таким образом, вопрос можно сформулировать следующим образом.
Требуется ли тьма лицензий для развертывания любого ПО (в том числе ОС Windows сама по себе), которое может выдать Х.509 сертификаты, и дальнейшего использования самоподписанных сертификатов для нужд, не относящихся к документообороту, в частности проверки подлинности компьютеров и пользователей?
особенно когда в договорных документах про обеспечение ИБ нет ни слова.

Нет!

Alcabar , не сомневаюсь в том, что вы прекрасный специалист. В узкой области. И вот в ней, я уверен, вам есть чему меня поучить.

Так ладно. Дабы не разводить словоблудие.
ИМХО!
Если Вы ТОЧНО уверены, что пришедшая проверка (а она когда-нибудь все равно придет) не обнаружит\не обратит внимание на торчащий из USB токен. И НЕ классифицирует это все как СЗИ, то делайте. ПРЯМЫХ запретов на использование самоподписанных сертификатов нет - все будет зависеть от самой АС.
Лично я бы предпочел, чтобы заказчик боялся "кулхацкеров" дальше. Но это опять же ИСКЛЮЧИТЕЛЬНО МОЕ МНЕНИЕ.

Пришедшая проверка обнаружит, что в конторе игнорируются требования по ПДн (а там К2 как минимум), и до токенов дело не дойдет.
Сейчас, к слову, токены используются в режиме хранения пароля на них.