W 2002 roku Karger i Schell powtórzyli, że test penetracyjny może wskazać część podatności do usunięcia, ale to, że zespół testujący ich nie znalazł, nie oznacza, że ich nie ma.
Fazy testu penetracyjnego Wytyczne NIST SP 800-115 przedstawiają przykładowy podział testu penetracyjnego na cztery fazy, zastrzegając, że dopuszczalne są również inne sposoby grupowania wykonywanych czynności: planowanie – ustalenie zasad testu, uzyskanie i udokumentowanie zgody kierownictwa oraz określenie celów. W tej fazie nie prowadzi się jeszcze testów. rozpoznanie – zbieranie informacji o badanym środowisku, m.in. przez identyfikację portów i usług, zapytania do systemu DNS i bazy WHOIS oraz odczytywanie informacji o wersjach oprogramowania, a następnie analiza podatności, czyli porównanie wykrytych usług i systemów z bazami znanych podatności. atak – próba wykorzystania zidentyfikowanych podatności w celu ich potwierdzenia. Udany atak może umożliwić eskalację uprawnień i dostęp do kolejnych systemów, co prowadzi do ponownego rozpoznania. raportowanie – przedstawienie wykrytych podatności wraz z zaleceniami dotyczącymi ograniczenia ryzyka.