Возможно есть смысл использовать дистрибутив имеющий сертификат ФСТЭК.
История "развития" персональных данных наглядно показывает, что компетентные органы постепенно сливают тему. Если на первых порах все необходимо было делать по требованиям аналогичным СТР-К, затем было страшное четверокнижие, то сейчас - есть только сам текст ФЗ и пара документов - 1119-е постановлеие правительства и конкретизирующий его приказ ФСТЭК №21. И если начнешь примерять это дело на себя, то скорее всего для обычного бизнеса (то есть, который не связан с накоплением и обработкой ПД сторонних лиц, а только собственные кадровые вопросы) окажется вполне достаточно выпустить два документа: политику информационной безопасности (в которой прописать, что никаких сертифицированных СЗИ без явной на то необходимости, ну и классифицировать свои ресурсы по самому низкому классу) и приказ о назначении ответственных лиц. И этого будет вполне достаточно.
Так что если у тебя персональные данные только собственных сотрудников, то сертифицированные ОС нафиг не вперлись по документам "партии и правительства".
