Но ведь требования такие есть к наложенным СЗИ. Соответственно, чтобы защититься от угроз 1го типа я могу их применять.
И таким образом при проверке регуляторов я ни на что не напорюсь.

наложенные СЗИ только могут попытаться ограничить доступ субьекта к объекту, в саму работу сервисов они особо не вмешиваются

Это всё прекрасно, только тут про прикладной софт и написано.

Вообще я полностью согласен с мнением, что наложенные СЗИ скорее всего не смогут спасти от реальных НВД ОС и СПО и желательно применять сертифицированную ОС (но даже сертифицированную ОС от 0 day никто не спасал, как и любое другое СЗИ)...
Но в рамках исполнения действующих НПА и НМД достаточно применять наложенные СЗИ.

В ТОМ ЧИСЛЕ прикладной софт.

Ещё раз - здесь ничего не сказано про ОС и всё написанное имеет отношение и прикладному софту и командам/утилитам ОС. Специально сделана оговорка про ЯВУ, которыми ни асм, ни си не являются :)

Тут как раз наоборот, закрытие дыр в сертифицированной ОС производиться реже, чем обычной.

Вы хотите себя убедить, что от угроз 1-го типа можно закрыться наложенными СЗИ? Тут я полностью согласен с Алексеем. Ни по бумагам, ни реально вы СЗИ не закроетесь от угроз 1-го, 2-го типа.

Как раз таки по бумагам закроетесь, а фактически, возможно, нет.

Как раз-таки большинство интеграторов, поголовно пишут в МУ, что угрозы 1-го, 2-го типа не актуальны, тем самым избавляя себя от головной боли с проверками НДВ, УД и ОУД.

Этот факт не отменяет моё утверждения :)

Хорошо, тогда может приведете пример? Например, укажите где в любом из формуляров на СЗИ, указано, что данная СЗИ покрывает меры по НДВ, УД той ОС на которой она стоит?

Сначала вы приведите пример, где написано, что для нейтрализации первого типа угроз нельзя применять наложенные СЗИ :)

Интересный ход. Так можно дойти до того, что попрпросить привести документ, в котором написано что НЕЛЬЗЯ для нейтрализации угроз 1 типа применять SIEM, например. А чего нет? Не написано-же так. 😐

Сообщением ранее использовался точно такой же ход

Вижу,  многие здесь не понимают, что такое НДВ в ПО ) Это не дырки/уязвимости/вирусы/трояны )

Вы утверждаете, что СЗИшкой можно закрыться от 1-го, 2-го типа угроз? Я прошу вас указать, где это прописано. Во всех формулярах на СЗИ указаны, какие функции они выполняют. Я прошу вас привести данные строки сюда.

Есть меры по ЗИ, которые применяются при определенных случаях. Эти меры выполняются как наложенными СЗИ, так сертификацией ПО/ОС и т.д.

Как вы собираетесь реализовать меру по защиту от угроз 1-го, 2-го типа? Какие именно механизмы СЗИ позволят это сделать (даже по документам)? Единственный выход это сертификация ПО/ОС (как вы и написали), которая и позволит удостовериться/ не удостовериться в этом. Никакие наложенные СЗИ эту угрозу не закроют. И если мы пишем, что угрозы 1-го, 2-го типа актуальны, то единственный способ это отправить такое ПО/ОС на эту проверку.