Надо ли сертифицировать и подгонять ПО, устанавливаемое в защищенной АС - Форум по вопросам информационной безопасности

Имеется требование заказчика, что разрабатываемая система предназначена для функционирования в АС класса 1В.
Если в АС стоит комплекс, предназначеный для объектов информатизации 3 категории, локальный.
1. Стоит ли приводить разрабатываюмую систему, которая будет установлена на этот комплекс, к требованиям класса 1В?
2. Или достаточно проверить соотвествие эксплуатируемого уже в АС комплекса требованиям 1В. Как документально это решение обосновать?
Есть еще требование, что система должна быть сертифицирована по третьему уровню контроля отсутствия недекларированных возможностей.
3. Документы к сертификации мы готовим, так ? А кто проводить должен эту сертификацию и какие обычно сроки на это закладывать?

Если ПО - СЗИ (выполняются требования РД) то да. Если ПО прикладное и не связано с СЗИ то нет.

По НДВ сертифицируется ПО не система!

ПО - прикладное.

Тогда требования РД в вашей системы выполняют отделные сертифицированные СЗИ. ПО сертифицировать как СЗИ не нужно.

По 1 и 2 вопросу вроде ясно, как это только документаьно обосновать?
А по 3-ему вопросу есть подсказки ?

1. Если заказчик требует, разрабатываемое вами ПО (систему), не только стоит, но и необходимо привести к требованиям 1В. Документальное обоснование - требование заказчика выраженное в ТЗ.
2. Если система защиты информации, реализованная к настоящему моменту в АС, соответствует требованиям заказчика (1В), то не нужно делать ничего сверх того, что потребует интеграция нового ПО (вашей "системы"). Т.е. дополнения и изменения. Документально вы это обоснуете результатами аттестационных (или других испытаний), изложенных в протоколах и заключениях.
3. Сертификационные испытания проводят Испытательные Лаборатории (перечень на сайте ФСТЭК). Экспертизу результатов испытаний, проведённых ИЛ, делают Органы по Сертификации (перечень на сайте ФСТЭК). Сертификат выдает ФСТЭК. Процедура и иные малозначительные подробности - 608 постановление правительства (есть на сайте ФСТЭК). НДВ3 - это долго и дорого.