Точно, кроме кода важно внимание к настройкам. Даже самый крутой код сломается, если где-то права на файлы неправильно поставлены или сервисы открыты на все подряд. Главное — не только находить, но и понимать, как это кто-то может использовать, чтобы потом закрыть дырку, а не просто отметить в чек-листе. Это и есть реальный навык.