Эффективность ИТ и ИБ выше, когда все варится в одном котле или как минимум под одним руководителем.

Как удобно, так и делайте

Обязательное разграничение ИТ и ИБ, чтобы не было конфликта интересов.

Тут наверное стоит разделить понятия типа:

• безопасная разработка
• обеспечение безопасности инфраструктуры
• пентестинг

Кажется что безопасная разработка должна в итоге стать частью сервиса и войти на базовом уровне в стоимость

А вот услуги по обеспечению безопасности инфры и пентестинга кажется, что могут быть норм такой доп.услугой, особенно если заказчик использует множество разных решений от разных вендоров и из своих кадров у него скорее поддерживающий персонал, а ИБ на зачаточном уровне

ИнфоБез часть услуг по разработке. Вопрос только кто оказывает. Если разработчик, то может себе в угоду делать скидки (не в вашу пользу пригимать решения). Вопрос цены.