Если вспомнить дебаты в 2013-м году относительно 17-го, да и 21-го, приказа ФСТЭК, то основной претензией к нему была сложность документа, которая станет/стала препятствием для внедрения новых требований ФСТЭК в государственных и муниципальных структурах. Решить эту проблему можно было бы уменьшением числа защитных мероприятий и упрощением алгоритма выбора защитных мер, а то и вовсе вернуться к всем привычному, но неадекватному реалиям СТР-К. Но понятно, что это не вариант, особенно в условия...

http://www.securitylab.ru/blog/personal/Business_without_danger/298584.php