Вопрос контроля встраивания поднимался уже не раз, просмотрел форумы, но так и не нашел однозначного ответа, подскажите пожалуйста.

Термины определения:
ОП – отраслевая программа, разработанная сторонней организацией, язык программирования Java.
БД – база данных ОП, где хранятся файлы (ФайлБД), атрибуты (АтрибутыФайлаБД) и т.д..
ФайлБД – массив байт (документы, сканы и т.д.).
ПодписьБД - массив байт формат Base64.
АтрибутыФайлаБД – название файла, имя пользователя сохранившего файл, дата сохранения.
АтрибутыПодписиБД – срок действия сертификата, имя пользователя сохранившего файл, дата сохранения.
Сертифицированный Web-Сервис – две функции:
получитьПодпись(byte[] исходный файл), вернет подпись в формате Base64
проверитьПодпись(byte[] исходный файл, подпись в формате Base64), вернет - верна подпись или нет, информацию о подписи.

Задача: В БД ОП хранится ФайлБД и АтрибутыФайлаБД необходимо иметь возможность загружать, хранить, выгружать ПодписьБД и АтрибутыПодписиБД.

Вариант 1. Подписывать файлы сертифицированным ПО (Сертифицированный Web-Сервис, КриптоАРМ и т.д.) на диске, получать файл с расширением sig и загружать в БД ОП.
ОП – не хранит в БД информацию Действительна подпись или нет, для проверки подписи необходимо выгрузить подпись и файл, средствами ОП, на диск и проверить сертифицированным ПО.

Вариант 2. Посылать запрос на Сертифицированный Web-Сервис полученную ПодписьБД и АтрибутыПодписиБД хранить в БД ОП.
ОП – не хранит в БД информацию Действительна подпись или нет, для проверки подписи необходимо сделать запрос на Сертифицированный Web-Сервис средствами ОП.

ОП для своей работы не использует ни каких библиотек связанных с формированием электронной подписи или шифрования, не проводит никаких преобразований сохраняемых файлов и подписей.

Данные ОП используются внутри организации, в подведомственных организациях, для формирования запросов по каналам СМЭВ.

Сертифицированный Web-Сервис работает только в защищенной сети. Разработчики ОП не имеют доступа к сервису, для тестирования получения подписи через сервис написал заглушку, возвращала фиксированную строку.

Вопрос: для ОП необходимо проводить контроль встраивания?

Контроль встраивания необходим при работе в госорганизациях или по желанию заказчика.