Смотрят методологию, примеры отчётов (redacted), опыт домена, страхование, clear ROE, seniority команды, возможность retest, коммуникацию critical findings, отсутствие «сканер-only» под видом pentest. Reference calls полезны.
Разбор
- Фиксируйте deliverables в SoW.
- Запрет на необъявленные SE.
- Требуйте ручную верификацию.
- Сравните sample finding depth.
Итог
Хороший вендор = метод, люди, отчёт и процесс эскалации — не дешёвый скан.