К сожалению, сайт нужен каждой организации, а пентест - в основном никому не нужен, пока их не сломают или по-другому не заставят, соответственно рынок пентестов по совокупному объёму меньше рынка разработки сайтов и веб приложений. И в целом заказчики обычно не готовы платить за анализ безопасности веб-приложения дороже, чем они заплатили за его разработку, в том числе и те, которым сайт написал студент за 20 копеек 😉