Дядька Серёжа

1. работу в филиале российского банка - сопровождение СКЗИ, крипто-про, ПАК Соболь и прочего оборудования

Ну это как бы к ИБ не имеет отношения от слова совсем, это как работа эникейщика/сервис-инженера

проведение различных пентестов своих систем, расследование инцидентов.

А вот это реальная безопасноть, но тут опыт нужен и понимание как атаковать, знать методологии, с тем банком что-то явно не так либо вы в данном пункте имели ввиду запускать сканер уязвимостей. В целом если хотите себя попробовать в данном направлении почему нет, но упретесь в то, что головные безопасники в Москве и на вас им как бы все равно. Заодно поймете как тяжело заставить админов что-то улучшать, ведь у них принцип «работает не трожь» и пофик что все в дырах.
2. Тут будут тонны нормативки, тонны документов разрабатывать, и если все будете делать как надо, то в аналитике прокачаетесь, но бумаги скорее всего много будет. Если вас назначат ответственным за КИИ, то это нельзя косячить, может тюрьма грозить если систему признанную объектом КИИ хакнут и это усплывет.

1.Я ИБшник, и у нас нет бумаги) Ну разве что электронная бумага с ЭП, облачные сервисы и т.п. Да, в маленькой провинциальной компании может быть не интересно.
Зато сможете настраивать все максимально безопасно имея опыт администрирования ПО/железо. Пробуйтесь, может что подойдет: https://team.cft.ru/jobs/all/information_security и удаленно примем.
3. DevOps и SRE тоже актуально, много удаленных вакансий.

oAuth 2.0 и OpenID connect

Создайте каждому родственнику по учетной записи и тогда в вашу не попадут

Если номер телефона указывать обязательно, то увы. Все остальные факторы включая FIDO 2 лишь дополнительные. Как понимаю чтобы количество аккаунтов не могло бесконечно расти.

Обратитесь в любой банк с просьбой разработать для них устройство контроля банкомата от просверливания пластиковых частей банкомата. Сходу вижу:

1. Устройство постоянного мониторинга звукового окружения на предмет появления особого звука сверления пластика
   
2. Тонкая проволока, при просверливании которой разрывается контакт
   

По результату передается сигнал на пульт охраны и по сети в службу безопасности банка, врубает сигнализацию в офисе с гуделкой на весь район

Как принять работу правильно:
Наймите безопасников на время аудита/купите услугу SOC, настройте им отправку необходимых логов. Команда Blue получится будет видеть что делает команда Red и сможет подтвердить глубину и ширину атак.
Платят за общую работу по проверке всех согласованных векторов, не за конкретные уязвимости. Но если желаете, то лучше платить за каждый вектор выполнения задания, заданием может быть доступ к такой-то информации и какое-то действие с ней.
Хотите платить за конкретные уязвимости, воспользуйтесь багбаунти площадкой.

Есть предположение, что код подобран просто случайно. То есть злоумышленник попытал удачу и за несколько попыток ввел тот код что был выслан вам.
Либо он проэксплуатировал известную уязвимость SS7: https://xakep.ru/2017/05/05/ss7-attacks/

Реализуйте mitm через burp suite, делов 20 минут. Посмотрите что там за трафик летит на сервисы гугла и все станет понятно

Из прочитанного:
Это лишь время когда вредонос или инсайдер про эксплуатирует одну из уязвимостей за 2020-2021 годы
Атака может быть как с соседнего сервера (DC, например, раз у вас терминальник старый, то из DC аналогично)
А это случится, у вас же и ПК личные используются.
OpenVPN тоже поди по клбчику который хранится в операционке, а значит его могут спереть и злоумышленник вообще со своей kali linux подключится.

Как можно обезопасить подключение с них к RDP протоколу, чтобы пропускалось только правильное и нужное, а подозрительное отбрасывалось?
Отказаться от личных домашних устройств либо внедрять MDM, но тоже видимо не ваш вариант по деньгам, правильно конечно концепцию Zero trust.
Двухфакторка + одноразовый пароль не через SMS.
EDR на каждом устройстве и в том числе на терминальникн с правилами блокировки устройства если риск превышен. Вывод терминальника из домена. Перенос его в сегмент где нет других серверов. Настройка согласно бэйслайну от MS и еще сильнее отключив ненужное на нем. Минимазиция доступов с сервера куда-то в сеть, например, не давать с него доступа к персональным данным (читай 152-ФЗ и подзаконные акты) и иной информации ваших клиентов. Сбор логов с него на другое устройство и анализ событий безопасности в логах.

Думайте еще об архитектуре, нужно задавать вопрос как уменьшить вероятность доступа к конфиденциальным данным до момента выявления и блокировки атаки вами.
Нужно смотреть и в сторону архитектуры: веб сервер в DMZ, приложение на Jango в другом сегменте, база в другом. Доступ из интернета только до DMZ сервера по пользовательскому порту (tcp443), админка доступна изнутри сети из другого сегмента где ваш ПК.

Специальность где дофига программирования это AppSec, таких спецов в стране ~ сотня я думаю

Конкретно для вашего случая:
Следить за обновлениями версий всех плагинов и всего программного обеспечения, очень часто сайтики такие ломают через взлом плагина или из-за старой версии wordpress.
В идеале админка не должна быть доступна из интернета всему миру, то есть сначала нужно по VPN подключиться на какой-то сервер или комп промежуточный, а уже с него подключаться в админку сайта.

Общие:
Вас будут закидывать фишинговыми письмами мол «у вас проблема с сайтом», «срок действия домена протухает», и т.п. И цель будет одна: заставить вас скачать и запустить злой файлик либо ввести логин и пароль на фишинговом сайте. Будьте готовы к ним.

Конкурент не будет пытаться вам навредить, для этого нужно потратиться на реальных злоумышленников и это уголовка, но те что решатся найму злоумышленников которые начнут со сканирования уязвимостей вашего сайта, затем начнут фишиговую атаку либо социальную инженерию (начнут звонить и представляться хостером или вашим админом, или еще кем) опять же с целью выманить логин и пароль либо с целью уговорить вас что пришлют сейчас письмо и оно не злое.
Обязательно вести копию всей базы где-то в другом месте. Чтобы если вас вломают, можно было начать с чистого листа.

Никак, в этом и заключается смысл использования закрытых ОС. Они создают мнимую безопасность. Но предположительно нужно самому скомпилировать и проверить контрольные суммы файлов каких-то

Задавайте вопрос, так отвечу