Взламывали по какой причине? Плохо аттестовали или инструкции и правила по эксплуатации ОКИИ и СЗИ не выполняются...
Тогда и подходим критически ко своей работе - в инструкциях вместо запретить пишем категорически запретить.

Правильно. Цель оценки - понять "по какой причине" и сделать соответствующие выводы. Если "запретить" не работает, после первой оценки можно "запретить категорически". Но если после второй окажется, что оно не работает, перестаем переставлять кровати и меняем работниц на более компетентных и изобретательных.

Или ставим СЗИ которые не дадут нарушить установленные правила. Типа оргмеры о запрете использование незарегистрированных флешек закрываем сертифицированным СЗИ от НСД, а по результатам контроля журналов безопасности СЗИ от НСД издаем приказ где "строго указываем" ВИПначальникам о запрещении использования незарегистрированных флешек или зарядки телефонов от ПК. Простым смертным работникам объявляем "замечание" и выдаем предписание о нарушении, с уведомлением об увольнении при повторном нарушении.

Все правильно. А потом опять смотрим, помогло ли. Цикл PDCA, установленный норматмвно.

Основноюая причина появления этого раздела - привести в чувство тех, кто считает аттестат индульгенцией

Аттестат это факт фиксации состояния на момент проверки и направление дальнейшего движения при эксплуатации объекта, в виде комплекта инструкций.
Ежегодная проверка реализации плюсиков установленных приказом ФСТЭК России от 25 декабря 2017 г. № 239, это тоже далеко не формализм и в большинстве проблемы с их выполнением возникает.

По проекту положения ФСТЭК об аттестации объектов КИИ, каждые два года проведения оценки и направление результатов в ФСТЭК https://valerykomarov.blogspot.com/2021/05/2.html

Не нашел   где опубликован для общественного обсуждения проект приказа ФСТЭК России «Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации, не составляющей государственную тайну».
Похоже после выхода МЕТОДИКИ ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ, он стал неактуальным, еще до своего утверждения.

В смысле не нашли? В заметке ссылка на карточку регулейшена ру

Только общественное обсуждение давно прошло

Результат перехода по ссылке - По вашему запросу ничего не нашлось

Screenshot (19 мая 2021 г. 9:36:23)

Спасибо нашел.

Этот проект относится к аттестации объектов информатизации, а не только ОКИИ.
Пока не совсем понятный документ.
СТР-К еще вроде не отменили.  
ГОСТ РО 0043-003 и ГОСТ РО 0043-004 по аттестации имеется.
Что то должны убрать, а что то заменить.

ГОСТ РО 0043-003 не применяется с 01.06.2021 (Инф. сообщение ФСТЭК России от 29.04.2021 № 240/24/2087)

У нас канал про КИИ. А про ГОСТ все проще. Аналогичная ситуация с порядком аттестации ГТ, которые уже утверждены. В связи с вступлением в силу Порядка аттестации с 1 июня 2021 г. при организации и проведении работ по аттестации  объектов информатизации, обрабатывающих информацию, содержащую сведения, составляющие государственную тайну, не применяются следующие документы:

Положение по аттестации объектов информатизации по требованиям безопасности информации, утвержденное председателем Гостехкомиссии России 25 ноября 1994 г.;

Типовое положение об органе по аттестации объектов информатизации по требованиям безопасности информации, утвержденное председателем Гостехкомиссии России 5 января 1996 г. N 3;

ГОСТ Р 58189-2018 Защита информации. Требования к органам по аттестации объектов информатизации;

ГОСТ РО 0043-003-2012 Защита информации. Аттестация объектов информатизации. Общие положения.

это только для аттестации ГТ

Только в случае, если владелец ЗОКИИ установил требование по оценке в форме аттестации.

так мы же не про обязательность аттестации ЗОКИИ,а про то, что субъекту КИИ надо смотреть нормативку в комплексе. И понимать, что если примет решение об аттестации, то будет каждые два года слать в ФСТЭК документы, подтверждающие..

С этим категорически согласен. Просто уточнил для себя и других