Een noodzakelijk kwaad om audits voor te zijn, waaruit één keer per jaar veel meldingen en aanbevelingen komen die moeilijk in de release kalender passen. Daarnaast is het een uitdaging om de juiste pentesters in huis te halen. Zelfs als je een goede hebt, hangt de kwaliteit van de pentest sterk af van de specifieke skills en ervaring van deze ene persoon.