@Tomáš2
A já někde psal, že security expert bude programovat aplikace?
Tak jsou přece obecné zásady, jako např. jedna z mnoha: nikdy slepě nedůvěřovat vstupům, a pak jsou specifické záležitosti, ale na to už je pak taky potřeba sehnat experta, který se bezpečnosti v té oblasti věnuje. Jsou lidi, resp. společnosti, které vezmou několik open source nástrojů a pustí je proti cíli, ale pak jsou taky společnosti které mají opravdu drahé a komplexní nástroje, širokou a hlubokou know how, platí si různé lidi a zjistí ti toho dost a nevím jakou máš zkušenost ty, já mám takovou, že oni sice nic neprogramují, ale součástí výstupu je i jak nalezené díry "zalepit" pokud je to možné - to ovšem na to, abys tčeba např. věděl že nemáš ukládat hesla v plaintextu nebo md5, není potřeba.