Андрей Боровский
С такой логикой, нужно любое устройство с аутентификацией считать СЗИ. Соответственно, сертифицировать. А без сертификата, ни ни!
Если функционал аутентификации такого средства используется для выполнения требований к защите информации - это СЗИ. Если Вы такое средство используете для выполнения требований по защите информации, которые обязывают применять только сертифицированные СЗИ, оно должно иметь сертификат.
Конкретно 31 приказ не обязывает применять исключительно сертифицированные средства, потому в данном случае можно обойтись несертифицированным.