Пожалуйста.
Только юр.лицу. Частная практика в данной сфере запрещена и пока законодательно в части получения разрешения не регламентируется.
Поэтому для оказания услуг такого рода в частном порядке, крайне рекомендуется оформлять договор на консультационные услуги в области информационных технологий, а в спецификации избегать слов "инструментальное тестирование", "пентест", "выявление уязвимостей" и т.п., заменяя их на "тестирование функционала на предмет соответствия действующим стандартам в области информационных технологий"
Немного дополню - физ лицу тоже выдается. Ведь ИП это физ лицо считается, но нужно иметь не менее трех работников со знаниями. Формально можно открыть ИП, попросить двух друзей-хакеров также вписаться в анкету. Лицензию лучше получать вида СРКИ - там послабее требования.