De rol van de auditor en pentester eventueel geholpen via expliciet toegestaan ethisch hacken is wel degelijk bedoeld om inzicht te geven in de technische en logische kwetsbaarheden. Met alleen het benoemen van een kwetsbaarheid is er toch nog geen inzicht verschaft. Hoe wil je het dan kunnen mitigeren als dat al mogelijk zou zijn? Vaak zijn auditor en pentester een en de zelfde gekwalificeerde beveiligingsdeskundige. Met de mededeling "uw dak lekt" zonder aan te geven hoe dat dient te worden verholpen, raak je toch nog meer van de regen in de drup? Of er vervolgens wat aan het lekkende dak wordt gedaan en of daar geld en tijd voor beschikbaar is, is een volgend discussiepunt. Voorbeeld - soms werkt men nog door met RSA4 omdat andere oplossingen wel drie keer zo duur zijn en we zijn immers "zuunig" toch zo lang als het kan en het hoeft niet per se neem je het risico op de koop toe. Maar, daar gaat het hier niet om. Met arp inspectie ingesteld, zijn er maar 15 ARP PPS op een "untrusted" poort mogelijk, dan ...