Обязательно ли специалисту по ИБ знание веб-разработки?
имхо, не нужно знать web-dev полностью, нужно знать основные векторы атаки (sqli/xss/csrf/etc) и что они из себя представляют/как реализовываются. иначе как вы собираетесь пентестить?
ну и кагбе ИБ, не ограничивается только web'ом.
Все же желательно разбираться в программировании для спеца по безопасности. Хотя бы на минимальном уровне. Основы web-разработки не сложны в понимании и изучении. Для атак типа XSS, SQLi нужны только основы PHP и SQL. А они еще долго будут актуальны.