Desde un punto de vista empresarial, ¿cómo expresaría la necesidad de un equipo de investigación de vulnerabilidades?
Al final, ¿sería inviable desde el punto de vista de un negocio a menos que dicho negocio se considerara un costo de mercadeo (para promover otros servicios) o vendiera las vulnerabilidades?
SCENARIO
Imagine que trabaja en una compañía de Fortune 500 que ofrece productos infosec y tiene varios clientes.
Cada vez que sale un nuevo CVE, crean reglas de snort y las implementan.
AFAIK, el único punto de venta sería, literalmente, vender las vulnerabilidades encontradas y utilizar el resto como avisos internos (como Cisco Talos).
Sin embargo, con el costo de oportunidad, sería más barato para los investigadores burlarse de su propio tiempo. Por ejemplo, si se confunde para una vulnerabilidad OSX / iOS, sería más barato hacerlo en el tiempo libre y obtener la cantidad X total, en lugar de una cantidad menor en salario y tal vez 20-50% del valor de la vulnerabilidad como una bonificación.