Не совсем понял планируемый род деятельности фирмы, IT security-кансалтинг, pen-тестинг, как то все размыто, нет конкретики. Постарайся более точно определиться с количеством и типом предоставляемых услуг. Естественно, нужно проанализировать текущее состоянии рынка, но советую брать менее глобально. Начать на региональном уровне, оценить положение дел в рамках своего города, где будет располагаться фирма. Конечно есть плюсы работать на себя (иметь свою фирму), но тут же возникает сразу первый жирный минус, это ответственность, за все будешь отвечать ты сам, и ни кто другой. А тем более в такой области как защита информации, в которой все довольно таки не надежно. Так же большое внимание следует уделить именно документообороту. На своем опыте уже убедился, насколько трудно составить даже обычный маленький договор на выполнение простейшей услуги в области защиты информации. Так что наличие собственного юриста, а в будущем полноценного юридического отдела просто необходимо! Так же огромную роль играет правильный подбор кадров, тоже на личном опыте знаю, что собрать достойную команду это очень и очень трудно, хороших специалистов просто так не найдешь. В общем тонкостей тут просто огромное количество, и естественно, все предусмотреть не возможно, и конечно на первых этапах будут ошибки, недочеты, и надо быть готовым к этому.