Базовые и текущие образы как понятия применимы только виртуальной инфраструктуре типа VDI либо контейнерной типа Kubernetes. Доказывать что-то аудитору – не совсем корректная позиция. Вы можете зафиксировать в отчете с ним разногласия и их влияние на итоговую оценку, ГОСТ 57580 это предусматривает.
Citrix XenApp подходит под требования о безопасности базовых и текущих образов, как и иные средства контейнеризации.