Оценка уязвимости - техническая оценка, предназначенная для выявления наибольшего количества уязвимостей в Системе и предоставлении информации об их серьезности и приоритете исправления. Включает в себя автоматизированное и ручное тестирования.
Отвечает на вопрос: какие уязвимости существуют в Системе?

Когда использовать
Оценку уязвимости предпочтительно использовать компаниям с низким или средним уровнем безопасности. Такое тестирование поможет составить обширный список проблем, цель которого - исправить как можно больше недостатков.

Тестирование на проникновение (пентест) - техническая оценка, предназначенная для достижения конкретной цели, например: похищение данных, получение прав доменного администратора, выполнение кода на критичных элементах инфраструктуры. Для тестирования устанавливаются границы исследований, оговариваются используемые методы тестирования, например: фишинг, приёмы социальной инженерии и др.
Отвечает на вопрос: можно ли достигнуть цели при заданных условиях (можно ли похитить данные атакуя веб-приложение без методов социальной инженерии)?

Когда использовать
Тестирование на проникновение предпочтительно выбирать организациям с средним или высоким уровнем безопасности, поскольку для организаций с низким уровнем такой вид тестирования не покажет общей картины. Такой вид тестирования выступает проверкой на прочность безопасности Системы.

Red Team (ред тим) - тестирование, максимально приближенное к реальным кибератакам. Как правило не ограничено или ограничено слабо по способам достижения целей тестирования. Главное отличие от тестирования на проникновение - отсутствие чётких границ исследований. Цель ред тима - комплексная проверка механизмов защиты, обнаружения и противодействия вторжению, в том числе и регламентов по безопасности, проверка и повышение навыков команды кибербезопасности организации.
Отвечает на вопрос: может ли организация противостоять реальным кибератакам?

Когда использовать
Предпочтительно для использования компаниям у которых уже есть сильная база управления уязвимостями, возможности по обнаружению злонамеренного и подозрительного поведения в Системе и реагирования на него.

Оценка методом белого/серого/черного ящика - термины, указывающие уровень осведомленности исследователя о целевой Системе. Белый ящик - у исследователя полный доступ ко всей доступной внутренней информации, такой как сетевые диаграммы, исходный код и пр. Серый - доступна некоторая информация о Системе, например, в наличии непривилегированный доступ. Черный - нет никакой информации. Обратите внимание, что это не отдельный вид тестирования, а условия проведения исследований.
Отвечает на вопрос: что известно исследователю о тестируемой Системе?

Когда использовать
Метод “белого ящика” предпочтительно использовать при оценке уязвимостей. Такой подход при прочих равных условиях позволит выявить максимальное количество уязвимостей.
Метод “серого ящика” может быть применён при тестировании на проникновении с заданной моделью нарушителя, например, непривилегированного пользователя. При таком подходе будут исследованы пути атак для конкретной роли в Системе.
Метод “черного ящика” стоит применять при тестировании на проникновение, чтобы проверить на прочность механизмы защиты. Считается, что такое тестирования максимально соответствует реальным кибератакам. Однако, не стоит забывать о важном отличии - злоумышленник не ограничен по времени.
Выше перечислены общие примеры использования различных методов тестирования с типами оценки информационной безопасности. Могут использоваться и другие комбинации по различным причинам: начиная от специфики задач тестирования или Системы, заканчивая доступным бюджетом.

Аудит - тестирование, основанное на техническом подходе и (или) документации, целью которого - сравнение существующей конфигурации с желаемым стандартом, например: PCI DSS, ISO/IEC 27007, ISO/IEC 15408 и пр. Аудит не доказывает и не подтверждает безопасность Системы, а подтверждает соответствие заданному стандарту.
Отвечает на вопрос: соответствует ли Система требованиям конкретного стандарта?

Когда использовать
Аудит используют для демонстрации (проверки) соответствия конкретному стандарту. Важно понимать, что соответствие стандарту не должно использоваться как показатель безопасности.

Оценка рисков - широкое понятие как в смысле определения, так и в отношении выполнения. На самом высоком уровне оценка риска должна включать определение текущего уровня приемлемого риска и измерение существующего уровня риска. В случае несоответствия этих показателей, определяются действия для приведения их в соответствие. Оценка рисков обычно включает в себя оценку каждого риска по вероятности возникновения и степени воздействия риска на Систему, причем используются как количественные, так и качественные модели. Во многих отношениях оценка рисков и моделирование угроз являются схожими, поскольку цель для каждого из них - определение курса действий, который снизит риск до приемлемого уровня.
Отвечает на вопрос: какие есть несоответствия в уровнях приемлемых рисков и существующих? Какие действия необходимо выполнить для приведения уровней к соответствию?

Когда использовать
Оценка рисков, возможно, должна рассматриваться как общий термин для определения активов - всего ценного в Системе, как это может быть атаковано, что потеряете, если эти атаки будут успешными, и что план действий для решения проблем. Перед выполнением оценки рисков стоит уточнить, что понимается под этим термином: определение, какой подход или методология будет использоваться, какие результаты и в каком виде будут представлены и пр.

Оценка угроз — это тип проверки безопасности, который, больше относится к физическим атакам, чем к технологиям, а границы стираются. Основное внимание при этом, уделяется вероятности реализации такой угрозы, после чего принимается решение о выделении ресурсов для противодействия угрозе.
Отвечает на вопрос: какие угрозы имеют большую вероятность и опасность? Какие ресурсы доступны для противодействия?

Когда использовать
Оценку угроз лучше использовать в ситуациях, когда появляется вероятность реализации той или иной угрозы. Тогда цель оценки будет заключаться в том, чтобы узнать, стоит ли тратить ресурсы на решение ситуации.

Моделирование угроз - это набор действий по повышению безопасности путем выявления угроз, а затем определения контрмер для предотвращения или смягчения последствий угроз для Системы. Угроза — это потенциальное или фактическое нежелательное событие, которое может быть злонамеренным (например, DoS-атака) или случайным (сбой устройства хранения данных). Моделирование угроз — это запланированная деятельность по выявлению и оценке угроз и уязвимостей приложений.
Отвечает на вопрос: какие существуют угрозы в Системе?

Когда использовать
Моделирование угроз лучше применять непрерывно на протяжении всего проекта разработки программного обеспечения. Процесс практически одинаков на разных уровнях абстракции, хотя информация становится более детализированной на протяжении жизненного цикла. В идеале высокоуровневая модель угроз должна быть определена на ранней стадии разработки концепции или планирования, а затем уточняться на протяжении всего жизненного цикла. По мере того, как в Систему добавляется больше деталей, создаются и раскрываются новые векторы атак. Текущий процесс моделирования угроз должен исследовать, диагностировать и устранять эти угрозы. Благодаря моделированию угроз можно продемонстрировать людям, которые не занимаются вопросами безопасности, как соответствие требованиям какому-либо из стандартов и продукты безопасности не делают программу безопасности.

Bug Bounty — это тип технической оценки безопасности, который использует краудсорсинг для поиска уязвимостей в Системе. Основная концепция проста: тестировщики безопасности, независимо от качества, имеют собственный набор сильных и слабых сторон, опыта, предубеждений и предпочтений, и это дает разные результаты для одной и той же Системы при тестировании разными людьми.

Когда использовать
Bug bounty лучше использовать после выполнения одной или нескольких стандартных оценок уязвимостей (которые включают как автоматическое, так и ручное тестирование) и исправления найденных недостатков. Можно считать необязательным шагом между классической оценкой уязвимости и тестом на проникновение, который, не стремится найти все проблемы, а скорее подтверждает, что уровень безопасности на соответствующем уровне.