Аттестация по ФСТЭК веб-сервера Microsoft - Форум по вопросам информационной безопасности

Добрый день, уважаемые коллеги!

Я занимаюсь разработкой автоматизированной системы (АС) клиент-сервер для заказчика на платформе .Net. На сервере установлены ОС Windows 7 Professional и СУБД Postgre SQL. Веб-сервис развернут на IIS. Разграничение прав доступа реализовано на уровне веб-сервиса. Права настраиваются средствами АС и хранятся в таблицах БД. Доступ клиентов осуществляется через Интернет.
Класс ИСПДн заказчика - К2.
Заказчик, в связи с необходимостью аттестации своей ИСПДн, требует от нас сертификацию по ФСТЭК нашей автоматизированной системы как СЗИ.
Насколько я понимаю, здесь наверняка можно обойтись внешними СЗИ и без сертификации самой АС по ФСТЭК.
Автоматизированные системы, построенных по такой схеме (клиент - сервер приложений - сервер БД), сейчас используются практически везде. Прошу подсказать, кто имел опыт построения ИСПДн подобного плана. Как следует грамотно реализовать разграничение прав доступа к данным на сервере АС при помощи внешних СЗИ?

В том числе рассмотрим вариант заключения договора с квалифицированной организацией (имеющей необходимые лицензии ФСТЭК и ФСБ) на оказание консалтинговых услуг по защите информации и аттестации ИСПДн.

Заказчик госник? Если нет – зачем аттестация?
По сути Вам необходимо классические подсистемы защиты:
НСД, антивир, МЭ, СОВ, СКЗИ (для защищённого канала связи). Но только после создания МУ и выхода новых требований по ПДн.
Для подробного ответа необходимо понимать технологический процесс обработки инфы.

А может лучше не заморачиваться на кого-то, а сделать все самим? Это поймут и подскажут?