Начальник,директор ИБ отдела сам проводит пентесты своей инфраструктуры,департамента?

Зависит от должностных обязанностей, и от имеющихся у него навыков. Если руководитель в состоянии сам заниматься пентестом -- то почему бы ему этим и не заниматься периодически?

А в целом да -- его задача обеспечить минимизацию рисков ИБ. А как конкретно он будет это делать -- дело десятое. Есть персонал в отделе с определёнными компетенциями и знаниями, есть бюджет отдела, есть стратегия ИБ. Вот в рамках этих трёх ресурсов и нужно действовать.