читайте внимательно НПА. аттестация проводится для ГИС, а не для АРМ пользователей. и для того, чтобы избежать жутких требований к АРМ пользователей, для этого их сегмент классифицируют отдельно по более низкому классу и оператор ИС доводит требования по ИБ до пользователей.
Сталкивался с требованиями от ГОСОВ, что бы был аттестат на АРМ как на ИС,и что то доказать было бесполезно