Существует ли документ, подтверждающий безопасность информационного продукта?
Кто-нибудь знает, есть ли вообще что-то подобное, какое-нибудь "официальное" подтверждение?Смотря что в вашем понимании является официальным подтверждением. Делаете все по ГОСТ'у, подаете заявку на сертификацию, собираете нужные бумаги, оплачиваете, проходите проверку, и получаете сертификат и при запросе выдаете копию сертификата..Или как вариант, пишите на бумаге в свободной форме, что-то вроде  - Сим удостоверяю, что тут все очень безопасно и зело  конфиденциально. Подписываетесь, и ставите штамп "Уплочено"
Оба варианта являются вполне официальными подтверждениями.
Думаю нужен сертификат 
base.garant.ru/10103678/95ef042b11da42ac166eeedeb9...
полученный на добровольной основе
base.garant.ru/12129354/b5dae26bebf2908c0e8dd3b8a6...
ну и куча контор типа sevtest.com/sertifikaciya-informacionnyx-sistem
которые занимаются выдачей сертификатов, тут надо уже подробно изучать рынок.